Microsoft、発見者に125,000ドルの賞金を支払ったバグを修正せず

headless 曰く、

HPのZero Day Initiative(ZDI)チームは昨年、Microsoft Mitigation Bypass Bounty and Blue Hat Bonus for DefenseプログラムにInternet Explorerの脆弱性2件を報告して125,000ドルの賞金を獲得した。しかし、脆弱性の修正予定はないとの連絡をMicrosoftから受けたため、REconで詳細を公開したそうだ（HP Security Research Blog、ホワイトペーパーPDF、PoC、The Register）。

脆弱性が発見されたのは、Use After Free（UAF）脆弱性の緩和策として昨年6月の更新（MS14-035）で導入されたIsolated Heapと、昨年7月の更新（MS14-037）で導入されたMemoryProtection（MemProtect）。これらの機能の脆弱性を利用して攻撃する手順と、MemProtectを利用してASLRを完全に迂回する手順に対して賞金100,000ドル、これらの攻撃に対抗する手順に対して賞金25,000ドルが授与されている。

HPでは脆弱性の報告から120日が経過したとして、賞金を獲得したことを2月に公表している。この時点では脆弱性の詳細を明らかにしていなかったが、その後Microsoftから脆弱性の修正予定はないとの連絡を受けたとのこと。Microsoft側はデフォルト構成のIEでは影響を受けないとの見解を示しているが、この見解に同意できないため公表に踏み切ったとのことだ。

ASLR

[Anonymous Coward]

ランダムじゃ動かないからってどこかにメモしておくとそのメモを読まれるから、あんまり意味ないんだな
厨房避けか

Re:ASLR

[Anonymous Coward]

その「メモを読む」という手順を仕込む為に攻撃の難易度が一段階上昇するのが狙いですよ。
ASLRが有効とされる典型的なパターンであるスタックオーバーフローでreturn先を改竄する場合、
スタックオーバーフローを仕掛ける段階で何処にreturnするか決定できなくなるため、
任意コードの実行可能性からクラッシュを狙うDoS攻撃にまで被害の程度が軽減されます。
例外を捕まえていれば更に被害範囲を減らせますが…
アドレスが当たれば結局任意コードな時点で危険なのは変わりませんね。

なぜマイナスモデ(オフトピ:-1)

[Anonymous Coward]

メモを読む(ランダム化したアドレスを特定する)為に攻撃難易度が上がるとはいえ、
メモを読まれたりメモの必要ない攻撃では効果が出ないって点は全く間違ってない。
そういった工夫のない安易な攻撃に対する効果が高いので厨房避けという評価も正しい。

「あんまり意味ない」の下りこそ間違ってるがマイナスモデするほどの間違いじゃねぇだろコレ。

賞金を支払う際に秘密保持契約していなかったのかな

[Anonymous Coward]

秘密保持契約していなかったとすれば、脇が甘すぎだね
秘密保持契約していたのならば、今後の対応が楽しみだ

Re:賞金を支払う際に秘密保持契約していなかったのかな

[Anonymous Coward]

そんな実質無力な契約を真顔で結んでたりしたのがバレたら逆にMSが笑い者になる。
別の第三者が自力で発見したと言ってしまえばそれまで、それどころか脆弱性情報が地下で流通するだけの結果もありうる。
そんな手段で脆弱性を封じ込めようとしても何の利益も無い。

Re:

[Anonymous Coward]

修正の必要ないバグを口止めする必要もない

Re:賞金を支払う際に秘密保持契約していなかったのかな

[Anonymous Coward]

普通に考えればバグ報告のお礼だろう。

Re:

[Anonymous Coward]

>HPでは脆弱性の報告から120日が経過したとして、賞金を獲得したことを2月に公表している。

ちゃんと120日間黙っていたじゃないですか。
賞金が口止め料だとしても、セキュリティ関係の場合は期限付きなのが前提です。

Re:

[Anonymous Coward]

俺ルールがどうであれ、契約がどうなっていたかが重要かと

Re:

[Anonymous Coward]

で、どうなってるの？

Re:

[Anonymous Coward]

どうもなってないから公表したんでしょう

Re:

[Anonymous Coward]

どうなってるのかもわからないのに
「問題ない！」「問題だ！」
とオレオレ理論を主張しあってるのが今の流れ

Re:

[Anonymous Coward]

> その賞金は口止め料だろう。
ちがーうよ。「闇で高く売れる/売られてるものを教えてくれてありがとう」っていうお礼。
脆弱性情報は犯罪組織間で取引されるので、メーカーにバレて修正されれば価値がなくなって組織の資金源を少し潰せる。あるいは公表されてしまってもやはり価値がなくなって組織の資金源を少し潰せる。
だから、修正されないならば公表しなければならない。口止めをすると防御側は把握できず、攻撃側は一層活用しやすくなる。
脆弱性を発見できるのは報告者だけではなくて、独立して複数の勢力が発見することが十分有り得る。その全てを把握することはできないので、分かった分だけ口止めしても抑止力にならない。
力で抑えつけられると思われていたのは30年前の話。もう誰もそんな議論はしていない。

Re:

[Anonymous Coward]

お前が何も読んでいないというのはよくわかった

スパムによって構成が変えられる

[Anonymous Coward]

世の中にはよくわかっておらずスパムやプラグインを大量に抱え込んでいる人は
絶対にデフォルトの構成でIEを使っていない

Re:

[Anonymous Coward]

スパム？

Re:

[Anonymous Coward]

×スパム
○マルウェア

Re:

[Anonymous Coward]

SP◯Mの営業はこんなところまで火消しに来るのか。

Re:

[Anonymous Coward]

賞味期限：製造日から3年間
http://www.spam-jp.com/products/products.html [spam-jp.com]
でございますので、大量に抱え込んでいただくことも可能になっております。

Re:

[Anonymous Coward]

デフォルト構成てか保護モードのことなんじゃないの
わざわざオフにして使ってる人なんていないでしょ

Re:

[Anonymous Coward]

Windows8.1はデフォルトでオフだった記憶がある

Re:スパムによって構成が変えられる

[headless (41064)]

各ゾーンで「既定のレベル」をクリックしてみるとわかりますが、「インターネット」ゾーンと「制限付きサイト」ゾーンのデフォルトではオンになっています。