「仮想マシンでWebを見ているからホストOSは安全」という常識を覆す

　トレンドマイクロやZero Day Initiativeが主催するセキュリティコンテスト「Pwn2Own」の結果が公開された。賞金額合計は100万ドルで、ブラウザやエンタープライズソフトウェアなどの4つのカテゴリで11のハッカーチームが競う。

　仮想マシンからの脱出、Webブラウザに対する攻撃、権限の不正な昇格、エンタープライズソフトウェアに対する攻撃の4つのカテゴリが設けられ、それぞれ製品やプラットフォームごとに異なる賞金が設定された。

　Webブラウザやプラグインを対象としたカテゴリでは、Chrome、Safari、Firefox、Microsoft Edgeの4つのブラウザに対し異なる賞金とポイントが設けられ、勝敗が競われた。

　Webブラウザカテゴリ中でも最高額となるのはChromeとMicrosoft Edgeの2つで、80,000ドルとなっているためか、コンテストを通じMicrosoft Edgeを標的または経由した攻撃が目立った。同額のChromeを対象とした攻撃は1チームが試みたものの、失敗に終わった。

　ひときわ目を惹くのは、最終日に行なわれた360 Securityチームの攻撃。Microsoft Edgeのヒープオーバーフロー、Windowsカーネルの混乱のバグ、そしてVMWare Workstationのイニシャライズされていないバッファのバグを組み合わせ、わずか90秒でゲストOS上のEdgeからホストOSに抜け出すことに成功した。

　Tencent Security所属Team SniperもVMwareの脆弱性を利用した攻撃を行なった。3つの異なったバグ(Windows カーネルUAF、VMwareの情報リークおよびイニシャライズされていないVMwareのバッファ)を組み合わせることで仮想マシン上のゲストOSからホストOSにアクセス可能とした。特筆すべきは、この間にホスト端末とゲスト端末間でクリップボードの共有などをするVMware toolsすらインストールされていなかったことで、格段に難度の高いハックをやり遂げたとして10万ドルが与えられた。

　なお、このコンテストで発見されたバグはベンダーに報告され、製品のセキュリティ向上に役立てられる。用いられた脆弱性はレギュレーション上、全て未知だった脆弱性であり、深刻なものも複数あるため、コンテスト中で利用されたのは幸いだったと言えるだろう。