Windows VPN Clientのローカル権限昇格の脆弱性

Cisco VPN Client for Windowsは、非特権ユーザが管理者権限を取得することを可能にするローカル権限昇格の脆弱性の影響を受けます。

ユーザがこの脆弱性を不正利用できるようにするには、認証を行ってインタラクティブなWindowsセッションを開始する必要があります。

シスコでは、該当するお客様用に、この脆弱性に対応する無償ソフトウェアを提供しております。この脆弱性の影響を軽減する回避策があります。

このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20060524-vpnclient で公開されています。

Cisco VPN Clientは、Sun Solaris、Apple MacOS Classic、MacOS X、Linux、およびMicrosoft Windowsオペレーティングシステム向けのソフトウェアソリューションです。このソリューションを使用すると、これらのオペレーティングシステムを実行しているユーザは、Cisco IOSルータ、PIXセキュリティアプライアンス、VPN 3000シリーズコンセントレータ、およびASA 5500シリーズ適応型セキュリティアプライアンスなどのCisco VPN対応デバイスにIPSec VPNトンネルを確立できます。

Cisco VPN Client for WindowsのGraphical User Interface（GUI；グラフィカルユーザインターフェイス）の脆弱性（「VPN Client Dialer」とも呼ばれる）は、ユーザ権限を昇格させ、LocalSystemで同等の権限を取得するために不正利用される可能性があります。

この脆弱性は、Cisco VPN ClientでStart Before Logon(SBL)機能が有効になっている場合に発生します。この機能は、Cisco VPN ClientのGUIから非特権ユーザがイネーブルにできます。この機能を有効にすると、Windowsのログオン画面にCisco VPN Client GUIが表示されます。ユーザがこのGUIでF1キーを使用してCisco VPN Clientのヘルプにアクセスすると、Cisco VPN ClientはWebブラウザプロセスを生成します。まだユーザがログインしていないため、Cisco VPN ClientはLocalSystem権限で実行されています。したがって、生成されたWebブラウザプロセスも同様です。ログオンシーケンスが完了すると、ユーザのデスクトップにWebブラウザウィンドウが表示され、LocalSystem権限で実行されます。

SBL機能の詳細については、次を参照してください。

http://www.cisco.com/en/US/docs/security/vpn_client/cisco_vpn_client/vpn_client46/win/user/guide/vc7.html#wp1301567

この問題は、Microsoft Windows自体の既知の問題とは関係ありません。

この脆弱性は、Cisco Bug ID CSCsd79265(登録ユーザ専用)に記載されています。

ローカルシステムレベルの権限の詳細については、次を参照してください。

• LocalSystemアカウント
  http://msdn.microsoft.com/library/default.asp?url=/library/en-us/dllproc/base/localsystem_account.asp
  

この脆弱性の回避策は、LocalSystemアカウント（「SYSTEM」とも呼ばれる）が「.html」拡張子を持つファイルに関連付けられたアプリケーションを起動するのを防ぐことです。この回避策を適用した後、Windowsのログオン画面でCisco VPN Client GUIのF1キーを押しても何も変わりません。

これを行うには、アクセスコントロールリスト(ACL)エントリをWindowsレジストリキーHKEY_LOCAL_MACHINE\Software\Classes\.htmlとHKEY_CLASSES_ROOT\.htmlに割り当て、NT-AUTHORITY\SYSTEMアカウントがそのキーへのすべてのアクセスを拒否されるようにします。

次の例では、http://www.heysoft.de/en/software/regtools.php?lang=ENから入手できるツールRegDACL(Copyright(c) 1999-2001 Frank Heyne Software)を使用して、上記のWindowsレジストリACLを適用しています。

C:\>regdacl HKLM\Software\Classes\.html /DGS:F

RegDACL 5.1 - Permissions Manager for Registry keys for Windows NT 4 and above
Copyright (c) 1999-2001 Frank Heyne Software (http://www.heysoft.de)
This program is Freeware, use it on your own risk!


Denying F access for predefined group "System"
 - adding new ACCESS DENY entry
 - removing existing entry


C:\>regdacl HKCR\.html /DGS:F

RegDACL 5.1 - Permissions Manager for Registry keys for Windows NT 4 and above
Copyright (c) 1999-2001 Frank Heyne Software (http://www.heysoft.de)
This program is Freeware, use it on your own risk!


Denying F access for predefined group "System"
 - adding new ACCESS DENY entry
 - removing existing entry


C:\>

同じことを実現するために使用できるもう1つのツールは、複数のバージョンのWindowsリソースキットに付属しているRegini.exeユーティリティです。Regini.exeの使用方法の詳細については、Microsoft Knowledge Baseで次の文書を参照してください。

• Regini.exeを使用してレジストリキーにアクセス許可を設定する方法
  http://support.microsoft.com/?kbid=237607
  

RegEdit.exeを使用してWindowsレジストリを手動で編集する方法も機能しますが、この方法は、多数のマシンで操作を実行する必要がある場合には拡張されません。

シスコでは、シスコのテスト環境で上記の回避策のテストを実施していますが、回避策の効果と影響は、それぞれのお客様の環境によって異なります。回避策を適用する（Cisco VPN Clientを最新バージョンにアップグレードする代わりに）お客様は、回避策を徹底的にテストし、該当する機能に依存する他のアプリケーション（LocalSystemアカウントが任意のアプリケーションからHTMLファイルを起動する機能など）に悪影響が及ばないことを確認することを推奨します。

アップグレードを検討する場合は、http://www.cisco.com/go/psirt と後続のアドバイザリも参照して、問題の解決状況と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報に不明な点がある場合は、Cisco Technical Assistance Center（TAC）または契約を結んでいるメンテナンス プロバイダーにお問い合せください。

この脆弱性は、Cisco VPN Client for Windowsのバージョン4.8.01.0300で修正されています。このバージョンは次の場所からダウンロードできます。

http://www.cisco.com/pcgi-bin/tablebuild.pl/windows（登録ユーザのみ）

自動アップグレードを含め、Cisco VPN Clientをアップグレードする方法については、『VPN Client管理者ガイド：VPN Clientソフトウェアの更新』の次の章を参照してください。

Cisco PSIRT では、本アドバイザリに記載されている脆弱性の不正利用事例やその公表は確認しておりません。

この脆弱性は、FortConsultのAndrew Christensen氏およびJohan Ronkainen氏によってシスコに個別に報告されました。シスコは、この脆弱性の公開にご協力いただき、ありがとうございます。

SYSTEMアカウントがWebブラウザを起動できないようにするため、HKCR\.htmlレジストリキーにACLを適用することが、Johan Ronkainen氏によってCisco Systemsに推奨されました。

FortConsultのアドバイザリは、次の場所で入手できます。

http://www.fortconsult.net/images/pdf/cisco_advisory_may2006.pdf