Windows XP/2003のヘルプ機能を悪用したリモート攻撃が確認される

あるAnonymous Coward 曰く、

Windows XP/2003のhcpプロトコルに脆弱性が発見され、これを悪用した攻撃が確認されたとのこと（Internet Watchの記事）。この脆弱性は6月11日に公開されたもので、「hcp://」で始まる細工されたURLをクリックするだけで、任意のコマンドを実行させられる危険性があるとのこと。短く分かりやすい攻撃コードが出回っているため注意してください(詳細な情報, デモ)。

Workarounds適用で対処終了、以上

[shibuya (17159)]

Microsoft Security Advisory [microsoft.com]の回避策(Workarounds)の示す通りに
HKCR/Hcpをファイルにexportした上でdeleteが手っ取り早いのでそうしました。
個人的にどうしてもこれなしで済ませられないということはないはず(と信じたい)

Re:

[Anonymous Coward]

最初からそのレジストリキーないんだが･･･

同じ脆弱性がでた2004年のときに削除したかなぁ？
http://internet.watch.impress.co.jp/cda/news/2004/05/12/3064.html [impress.co.jp]

Re:

[Anonymous Coward]

うちのもHCPキーは無かったです。
ヘルプセンターの誰でも招待機能なんて怖ろしい物、
XPをインストール後すぐに無効にした覚えが。

デモページでウイルス検出

[chokkan (40227)]

デモのリンクをクリックしたら、ウイルスとして検出されました（シマンテック製品）。
デモページに書かれているように、会社などのパソコンでアクセスするのは控えた方がよさそうです。

Re:デモページでウイルス検出

[kei100 (5854)]

Microsoft Security Essentials [microsoft.com]でも出ますね。

検出された項目 | 警告レベル | 推奨 | 状態
Exploit:Win32/CVE-2010-1885.A | 重大 | 削除 | 一時停止済み

カテゴリ: Exploit

説明: This program is dangerous and exploits the computer on which it is run.

推奨: Remove this software immediately.

プライバシーを侵害する、またはコンピューターに損害を与えるおそれのあるプログラムが Microsoft Security Essentials によって検出されました。これらのプログラムが使用するファイルは削除されず、引き続きアクセスできます (推奨されません)。これらのファイルにアクセスするには、[許可] 操作を選択して [操作の適用] をクリックします。このオプションを使用できない場合は管理者としてログオンするか、ローカル管理者にお問い合わせください。

項目:
file:C:\Users\foo\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\????????\hcbypass[1].htm
file:C:\Users\foo\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\????????\hcbypass[1]

この項目に関するオンラインの詳細情報を表示します。 [microsoft.com]

Re:デモページでウイルス検出

[Elbereth (17793)]

デモページのURLをパターンファイルに登録しただけだったりして!?

Re:

[Anonymous Coward]

Norton先生が入ってれば安心というわけですな。

Re:

[Anonymous Coward]

Kasperskyも遮断しました(警告音無し）。

このWebページはウイルスに感染しています

次のウイルスが見つかりました:Exploit.HTML.HCP.b

Googleのセキュリティ研究者が先行公開したものですよね

[adeu (2937)]

で、MSが対策を検討するまもなく公開するのはユーザーを危険にさらすと批判し
    http://www.itmedia.co.jp/enterprise/articles/1006/11/news019.html

限定的ではあるものの攻撃が確認されているそうです。
    http://www.itmedia.co.jp/enterprise/articles/1006/11/news019.html

"Windows XP/2003"という表記について

[w1allen (21025)]

最初何のことかわかりませんでした。

"Windows XPおよびWindows Server 2003"としてくれた方が分かり易かったです。

ASXのHtmlView

[Anonymous Coward]

WMP経由でIEコンポーネントにページを開かせることができるのか…
IEの脆弱性がクロスブラウザになって何とも恐ろしい仕様ですね…

また一つ

[Anonymous Coward]

Vista/7へ移行する理由が生まれた。

Firefoxの場合

[Anonymous Coward]

network.protocol-handler.external.hcp はデフォルトで false になってますね。

とりあえず安全と考えていいのかな？

Re:Firefoxの場合

[Anonymous Coward]

WMPプラグインが無効になっているかも確認しないとダメですよ。

Re:

[Anonymous Coward]

ありがとうございます。
もちろん無効にしてます;-)

とりあえず、IE8にしておけば

[Anonymous Coward]

セキュリティ設定を変更していなければ、Webサイトを開いたときにポップアップで実行するかどうか訊いていくるので、
自動実行されることはないかと。
IE7以下ではどうなるかは知らない。