本日 Talos は、CorelDRAW X8 に発見された脆弱性を公開しました。「CorelDRAW X8」は、ラスタ画像やベクタ画像の編集に使用されるグラフィックス スイートで、Adobe Creative Cloud の代わりに広く使用されています。本日公開された脆弱性のいくつかは、特にラスタ画像エディタ「PHOTO-PAINT X8」に影響します。これらの脆弱性について、Talos では責任を持って Corel 側に通知しており、同社は脆弱性を修正する更新プログラムを提供済みです。
脆弱性の詳細
TALOS-2016-0244（CVE-2016-8730）：Corel PHOTO-PAINT X8 GIF フィルタにおいて任意のコードが実行される脆弱性
脆弱性の発見者：Cisco Talos の Piotr Bania
TALOS-2016-0244
は、Corel PHOTO-PAINT X8 の GIF 解析機能に存在する脆弱性で、領域外メモリー書き込み（out-of-bounds write）破損が起きる可能性があります。細工された GIF ファイルを開くと脆弱性がエクスプロイトされ、任意のコードが実行されます。エクスプロイトが起きるシナリオとしては、電子メールに添付された悪意のある GIF ファイルを Corel PHOTO-PAINT で開いた場合や、ユーザが作成したコンテンツで偽装されたサイトから悪意のある GIF ファイルをダウンロードした場合などが想定されます。
TALOS-2016-0261（CVE-2016-9043）：CorelDRAW X8 EMF においてパーサーコードが実行される脆弱性
脆弱性の発見者：Cisco Talos の Piotr Bania
TALOS-2016-0261 は、Corel X8 の EMF 解析機能に存在する脆弱性で、領域外メモリー書き込み（out-of-bounds write）破損が起きる可能性があります。細工された EMF ファイルを開くと脆弱性がエクスプロイトされ、任意のコードが実行されます。エクスプロイトが起きるシナリオとしては、電子メールに添付された悪意のある EMF ファイルを CorelDRAW X8 アプリケーションで開いた場合や、ユーザが作成したコンテンツで偽装されたサイトから悪意のある EMF ファイルをダウンロードした場合などが想定されます。
TALOS-2017-0297（CVE-2017-2803）：64 ビット版の Corel PHOTO-PAINT X8 TIFF フィルタにおいて任意のコードが実行される脆弱性
脆弱性の発見者：Cisco Talos 脆弱性調査チームの複数メンバー
TALOS-2017-0297 は、TIFF ファイルの解析機能に起因する脆弱性で、DLL ietif.flt に含まれるアプリケーションの一部に影響を与えます。TIFF IFD エントリを解析する際に、細工された TIFF ファイルにより アンダーフロー状態が引き起こされ、 「memset」関数に大きな「size」値が渡されることで、プロセスメモリが破損する危険性があります。この脆弱性は、64 ビット版の Corel PHOTO-PAINT X8 に含まれる Corel TIFF Import/Export Filter (64-Bit) – 18.1.0.661 ライブラリに影響を与えることが確認されています。
TALOS-2017-0298（CVE-2017-2804）：Corel PHOTO-PAINT X8 TIFF フィルタにおいて任意のコードが実行される脆弱性
脆弱性の発見者：Cisco Talos 脆弱性調査チームの複数メンバー
TALOS-2017-0298 は、Corel PHOTO-PAINT X8 18.1.0.661 の TIFF 解析機能に存在する脆弱性で、リモートからの領域外メモリー書き込み（out-of-bounds write）破損が起きる可能性があります。細工された TIFF ファイルによりエクスプロイトされると、メモリ破損が起きます。エクスプロイトされるシナリオとしては、この脆弱性を引き起こす特定の TIFF ファイルが送信された場合が想定されます。この脆弱性は、32 ビット版と 64 ビット版の両バージョンで、Corel PHOTO-PAINT X8 に含まれる Corel TIFF Import/Export Filter – 18.1.0.661 ライブラリに影響を与えることが確認されています。
今回発見された脆弱性の詳細な技術情報については、Talso の Web サイトから脆弱性に関する勧告をご覧ください。
http://www.talosintelligence.com/vulnerability-reports/
詳細
作業環境で日常的に共有されるファイル形式は、攻撃者にとって魅力的な標的となります。これらのファイルが電子メールに添付されていても、悪意が含まれているとは考えないユーザが多いからです。TIFF ファイルは、グラフィック デザイン業界や、FAX といった特定のドキュメントの配布に広く使用されています。GIF や EMF などのファイルも一般的な画像形式です。メタデータを含む単なる画像ファイルとして見なされており、悪意が含まれていることは想定すらされません。
TIFF などのファイル形式は非常に複雑であり、ファイルを解析するプログラムでは意図せず脆弱性が含まれる可能性が高くなります。Talos では、ここ数か月の間に、LibTIFFライブラリやImageMagick、および Apple iOSにおける脆弱性など、TIFF 形式に関連する他の脆弱性を発見してきました。組織では、使用中のソフトウェア パッケージにおける脆弱性を確認し、最新バージョンに更新する必要があります。
カバレッジ
次の Snort ルールは、今回発見された脆弱性に対するエクスプロイトを検出します。脆弱性に関する新たな情報が発見された場合は、ルールが追加・変更される可能性もあります。最新情報にご注意ください。ルールに関する最新情報は、Firepower Management Center または Snort.org を参照してください。
Snort ルール：
- 41344-41345
- 42140-42141
- 42084-42091
Talos が開示した他の脆弱性については、脆弱性報告ポータル（http://www.talosintelligence.com/vulnerability-reports/）をご覧ください。
脆弱性の開示ポリシーについては、次のサイトをご覧ください。
http://www.cisco.com/c/en/us/about/security-center/vendor-vulnerability-policy.html
本稿は 2017年7月20日に Talos Group
Authors