Trusted Design

解説:

CVE-2009-0557について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2009-0557は、Microsoft OfficeのExcelにおけるオブジェクトレコード破損の脆弱性です。細工されたExcelファイル内の不正なレコードオブジェクトを処理する際にメモリ破損が発生し、結果として攻撃者による任意のコード実行が可能になります。この脆弱性はCWE-119（メモリバッファの範囲内での操作の不適切な制限）およびCWE-94（コード生成の不適切な制御（「コードインジェクション」））に関連しています。

1.1 影響

攻撃者がこの脆弱性を悪用すると、現在ログインしているユーザーの権限で任意のコードを実行できます。これにより、機密性、完全性、可用性のすべてが危険にさらされます。攻撃者は、金融データの窃取、キーロガーやバンキング型トロイの木馬のインストール、永続的なバックドアアクセスを確立する可能性があります。

1.2 深刻度

• CVSS v3.1 スコア: 7.8 (High)
  • Vector String: AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
  • 評価基準: 攻撃経路はローカル、攻撃の複雑さは低、必要な権限なし、ユーザー対話が必要、スコープは変更なし、機密性・完全性・可用性への影響は高。
• CVSS v2.0 スコア: 9.3/10 (High)
  • Vector String: AV:N/AC:M/Au:N/C:C/I:C/A:C
• EPSS (Exploit Prediction Scoring System) スコア: 86.4% (99パーセンタイル)
  • これは、この脆弱性が悪用される可能性が非常に高いことを示しています。
• CISA KEV (Known Exploited Vulnerabilities) カタログ: CISAの「既知の悪用された脆弱性カタログ」に登録されており、この脆弱性が実際に悪用されていることが確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

Microsoft Office製品の特定のバージョンおよび関連コンポーネントが影響を受けます。 * Microsoft Office 2000 SP3 * Office XP SP3 * Office 2003 SP3 * Office 2004 for Mac * Office 2008 for Mac * 2007 Microsoft Office System SP1およびSP2に含まれるExcel * Open XML File Format Converter for Mac * Microsoft Office Excel Viewer 2003 SP3 * Microsoft Office Excel Viewer * Microsoft Office Compatibility Pack for Word, Excel, and PowerPoint 2007 File Formats SP1およびSP2 * Microsoft Office SharePoint Server 2007 (Excelサービスに関連する場合)

2.2 影響を受ける設定

この脆弱性は、ExcelがExcelファイル内の細工されたレコードオブジェクトを解析する際にトリガーされます。特に、古いバイナリXLS形式が関連します。 攻撃が成功するためには、ユーザーが悪意のあるExcelファイルを開くという操作が必要です。

3. 影響を受けた時の兆候

この脆弱性は任意のコード実行を可能にするため、一般的なシステム侵害の兆候が適用されます。 * 予期せぬシステム設定、プロセス、または権限の変更。 * 見慣れない、または予期しないローカルユーザーアカウント（特に特権アカウント）の追加。 * サービスの追加または削除、およびプロセスの異常な動作。 * 見慣れない、または予期しないネットワークへのアクティブな接続、異常なアウトバウンドトラフィック。 * ファイルシステムの変更（データが欠落または追加された、新しいディレクトリが作成されたなど）。 * ドライブの空き容量が大幅に減少するなどの急激な変化。 * 予期しない場所からのログイン試行、または短期間での複数回のログイン失敗といった異常なログイン試行。 * 疑わしいレジストリまたはシステムファイルの変更。

4. 推奨対策

4.1 本対策

• Microsoftセキュリティ更新プログラムの適用: Microsoft OfficeおよびExcel向けに提供されている関連するセキュリティ更新プログラムを直ちに適用してください。 Windows Updateを通じてOffice製品を最新の状態に保つことが最も確実な防御策です。
• Officeのアップグレード: Office 2000、2003、2007などのレガシーなOffice環境を使用している場合は、ASLR、DEP、サンドボックス化されたファイル解析など、最新の悪用緩和策を備えた現在サポートされているOfficeバージョンへのアップグレードを検討してください。

4.2 暫定回避策（緩和策）

• 「保護されたビュー」の有効化: 外部ソースから受け取ったすべてのExcelファイルに対してMicrosoft Officeの「保護されたビュー」機能を有効にしてください。これにより、スプレッドシートが制限されたサンドボックス環境で開かれます。
• 信頼できないソースからのファイルアップロード/ダウンロードの制限: Webサーバーにおいて、信頼できないソースからのExcelファイル（.xls, .xlsx）のアップロードまたはダウンロード機能を制限してください。
• ファイルアップロード機能の強化: ファイルアップロード機能を持つWebサービスの場合、ファイル拡張子フィルタリングに加えて、ファイルのマジックナンバー検証やアンチウイルスソリューションによるスキャンプロセスを必ず含めてください。
• 最小特権の原則: システム上でより少ないユーザー権限を持つように設定されたアカウントのユーザーは、管理権限を持つユーザーよりも影響が少ない可能性があります。

参照したサイト

• CVE-2009-0557 - Microsoft Office Object Record Corruption Vulnerability | turingpoint
• CVE-2009-0557 Detail - NVD - NIST
• CVE-2009-0557 Security Advisory - Griffin Technology Partners
• Vulnerability CVE-2009-0557 - CXSECurity
• CVE Program Container (CVE-2009-0557) | HOL Guard CVE
• CVE-2009-0557 Microsoft Office Object Record Corruption Vulnerability | 보안취약점 | 솔인시스템
• Vulnerability in Microsoft Office Web Components Control Could Allow Remote Code Execution - SANS ISC
• Checking Systems for Signs of Compromise | safecomputing.umich.edu
• Microsoft Security Bulletin MS09-009 - Critical
• Known Exploited Vulnerabilities Catalog | CISA
• Microsoft Security Bulletin Summary for May 2009
• An ancient Microsoft Excel security flaw could let hackers hijack your entire system, so patch now | TechRadar
• Top 15 Indicators Of Compromise - Dark Reading