やじうまPC Watch
「仮想マシンでWebを見ているからホストOSは安全」という常識を覆す
〜100万ドルを賭けたハッキング大会で証明される
2017年3月23日 16:19
トレンドマイクロやZero Day Initiativeが主催するセキュリティコンテスト﹁Pwn2Own﹂の結果が公開された。賞金額合計は100万ドルで、ブラウザやエンタープライズソフトウェアなどの4つのカテゴリで11のハッカーチームが競う。
仮想マシンからの脱出、Webブラウザに対する攻撃、権限の不正な昇格、エンタープライズソフトウェアに対する攻撃の4つのカテゴリが設けられ、それぞれ製品やプラットフォームごとに異なる賞金が設定された。
Webブラウザやプラグインを対象としたカテゴリでは、Chrome、Safari、Firefox、Microsoft Edgeの4つのブラウザに対し異なる賞金とポイントが設けられ、勝敗が競われた。
Webブラウザカテゴリ中でも最高額となるのはChromeとMicrosoft Edgeの2つで、80,000ドルとなっているためか、コンテストを通じMicrosoft Edgeを標的または経由した攻撃が目立った。同額のChromeを対象とした攻撃は1チームが試みたものの、失敗に終わった。
ひときわ目を惹くのは、最終日に行なわれた360 Securityチームの攻撃。Microsoft Edgeのヒープオーバーフロー、Windowsカーネルの混乱のバグ、そしてVMWare Workstationのイニシャライズされていないバッファのバグを組み合わせ、わずか90秒でゲストOS上のEdgeからホストOSに抜け出すことに成功した。
Tencent Security所属Team SniperもVMwareの脆弱性を利用した攻撃を行なった。3つの異なったバグ(Windows カーネルUAF、VMwareの情報リークおよびイニシャライズされていないVMwareのバッファ)を組み合わせることで仮想マシン上のゲストOSからホストOSにアクセス可能とした。特筆すべきは、この間にホスト端末とゲスト端末間でクリップボードの共有などをするVMware toolsすらインストールされていなかったことで、格段に難度の高いハックをやり遂げたとして10万ドルが与えられた。
なお、このコンテストで発見されたバグはベンダーに報告され、製品のセキュリティ向上に役立てられる。用いられた脆弱性はレギュレーション上、全て未知だった脆弱性であり、深刻なものも複数あるため、コンテスト中で利用されたのは幸いだったと言えるだろう。
公式トレーラー(英語)