HP Support Assistant に DLL ハイジャックの脆弱性 17
ストーリー by headless
脆弱 部門より
脆弱 部門より
HP 製 PC にプリインストールされるサポートツール「HP Support Assistant」で DLL ハイジャックの脆弱性 CVE-2022-38395 が見つかり、HP が最新版への更新を呼びかけている
(HP カスタマーサポートの記事、
Neowin の記事、
BetaNews の記事、
Ghacks の記事)。
DLL ハイジャックの脆弱性は HP Support Assistant が Fusion を用い、診断ツールとして HP Performance Tune-up を起動する仕組みに存在する。攻撃者はこの脆弱性を悪用することで、特権昇格が可能になるとのこと。脆弱性の影響を受けるのは HP Support Assistant バージョン 9.11 よりも前のバージョン、および Fusion バージョン 1.38.2601.0 よりも前のバージョンとなる。
現行の HP Support Assistant はバージョン 9.19.52.0 であり、かなり前に修正されていたようだ。Internet Archive のスナップショットによれば、昨年 12 月はバージョン 9.10.85.0、今年 1 月にはバージョン 9.12.43.0 となっている。
DLL ハイジャックの脆弱性は HP Support Assistant が Fusion を用い、診断ツールとして HP Performance Tune-up を起動する仕組みに存在する。攻撃者はこの脆弱性を悪用することで、特権昇格が可能になるとのこと。脆弱性の影響を受けるのは HP Support Assistant バージョン 9.11 よりも前のバージョン、および Fusion バージョン 1.38.2601.0 よりも前のバージョンとなる。
現行の HP Support Assistant はバージョン 9.19.52.0 であり、かなり前に修正されていたようだ。Internet Archive のスナップショットによれば、昨年 12 月はバージョン 9.10.85.0、今年 1 月にはバージョン 9.12.43.0 となっている。
HPがDELL (スコア:1)
一瞬「HP Support Assistant が DELL ハイジャック」のように誤読して戦争が始まったのかと思った。
なかなか特権昇格の脆弱性は無くならないね (スコア:0)
OSの提供するAPIに脆弱性があるなら分かるんだけど、他は何とかならないものかな。
ハードウェアのテレメトリ読み取りに特権が必要というのも何だし、こういうサポートツールでよくあるドライバのインストールでもトリガーを引いた以降は署名確認もインストール処理もOSの責務だと思うので、ソフトの作りの問題に収束していく気がするのだが。
Re: (スコア:0)
「●●が動作すること」は簡単にテストできるけど、「脆弱性がないこと」のテストは容易じゃないからなぁ。
Re: (スコア:0)
DLLハイジャックは難しいねぇ
同名dllがsystemディレクトリにあれば回避できるけど
同名dllがsystemディレクトリない場合はカレントディレクトリから読んじゃう
現状は気をつけて作らないとdllハイジャック可能がビルドの標準だから
パス指定とハッシュ確認しないとdll使えないのがビルド時の標準にして
旧ビルドツールは起動不可とかしないとどうにもならんかと
/*
古い人はstatic dllとしてカレントディレクトリに置いとけばおk
新人はよくわからんけどdllカレントディレクトリに置いとけばおk
みたいな
*/
Re: (スコア:0)
そんなのOSの脆弱性そのものじゃないか。
仕様を変更しないMicrosoftが悪い。
Re: (スコア:0)
でも実際に仕様変更したら互換性ｶﾞｰって大騒ぎするんでしょ
Re: (スコア:0)
> 同名dllがsystemディレクトリにあれば回避できるけど
Systemディレクトリから優先的に読み込むのはKnownDLLsレジストリにリストされたいくつかの主要なDLLだけですね、大抵はいくつか漏れます
JVNTA#91240916: Windows アプリケーションによる DLL 読み込みやコマンド実行に関する問題 [jvn.jp]
Re: (スコア:0)
アプリ自身は読み込んでいなくてもDLLが動的ロードするときパスを指定し忘れるとか(MSのもの含っめて)よくある。
根本的に回避するには、
・kernel32.dll以外は遅延ロードにする
・起動したら直ちにSetDefaultDllDirectories(LOAD_LIBRARY_SEARCH_SYSTEM32)する
くらい必要
Re: (スコア:0)
だってこれOSの提供するAPIに脆弱性がある件そのものだからね
かと言ってOSの挙動を変えると過去のアプリケーション動かなくなるから詰んでる
ハイジャック (スコア:0)
「飛んでないのにハイジャックというのか？」
「ハイジャックのハイは高いところで行われるという意味じゃない。
銃を突きつけて『hands up high,jack!（手を上げろこの野郎）』と脅すからハイジャックなのだ」
ポリコレ棒 (スコア:1)
jackは男を示す言葉で、男性のみに指示している物言いは不平等である。
これからはハイパーソンなりハイヒューマンと記述すべき
Re: (スコア:0)
そこは逆に、女の子にjackって名前をつけてもいいじゃん、という社会を目指してほしい。
Re: (スコア:0)
別に名前がジャックリーンであだ名がジャックの女性もいますよ。
Re: (スコア:0)
バスジャックなんて和製英語もできちゃったし。
Re: (スコア:0)
どっちみちこれをハイジャックと呼ぶには違和感があるよ…
Re: (スコア:0)
英語圏ではハイジャックと言わないこともないですけど「バイナリ植え付け(Binary Planting)」の方がよく使われている印象ですね