Trusted Design

解説:

CVE-2010-3333に関する調査結果を以下にまとめます。

1. 脆弱性の概要

CVE-2010-3333は、Microsoft OfficeにおけるRich Text Format (RTF) ファイルの解析方法に存在する、スタックベースのバッファオーバーフローの脆弱性です。この脆弱性は「RTFスタックバッファオーバーフロー脆弱性」とも呼ばれています。具体的には、Microsoft Officeソフトウェアが細工されたRTFデータを解析する際に、システムメモリが破損し、攻撃者が任意のコードを実行できる可能性があります。この脆弱性は、特にRTFのpFragmentsプロパティの処理に起因するとされています。

過去に「Bilawar Bhutto Sex Scandal」や「New Year's Greeting Card」（ロシア語のファイル名とメッセージ）を装った悪意のあるRTFファイルが観測されており、実際にこの脆弱性が悪用された事例が確認されています。

1.1 影響

攻撃者がこの脆弱性を悪用することに成功した場合、影響を受けるシステムを完全に制御する可能性があります。これにより、攻撃者はプログラムのインストール、データの表示・変更・削除、または完全なユーザー権限を持つ新しいアカウントの作成を行うことができます。

1.2 深刻度

• CVSS v3.1スコア: 7.8 (High/高)
  • CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
• CVSS v2スコア: 9.3 (Critical/緊急)
• Exploit Prediction Scoring System (EPSS): 89.5%（100パーセンタイル）で、今後30日以内に悪用される可能性が非常に高いと評価されています。
• Microsoftの評価: Microsoft Office 2007およびMicrosoft Office 2010のすべてのサポート対象エディションでは「緊急」、Microsoft Office XP、Microsoft Office 2003、Office 2004 for Mac、Office 2008 for Mac、およびOffice for Mac 2011のすべてのサポート対象エディションでは「重要」と評価されています。
• CISA KEV (Known Exploited Vulnerabilities): 2022年3月3日にCISAの既知の悪用されている脆弱性カタログに追加されており、2022年3月24日までに修正対応が求められています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性はOS自体ではなく、Microsoft Office製品に存在します。

• Microsoft Office XP SP3
• Microsoft Office 2003 SP3
• Microsoft Office 2007 SP2
• Microsoft Office 2010
• Microsoft Office 2004 for Mac
• Microsoft Office 2008 for Mac
• Microsoft Office for Mac 2011
• Open XML File Format Converter for Mac

2.2 影響を受ける設定

この脆弱性は、Microsoft Officeソフトウェアが特別に細工されたRTFデータを解析する方法に存在するため、特定の「設定」が脆弱性を引き起こすわけではありません。脆弱なバージョンのソフトウェアを使用している場合に影響を受けます。ユーザーが細工されたRTFファイルを開くことが悪用の前提条件となります。

3. 影響を受けた時の兆候

• 不審なプログラムのダウンロードおよび実行。
• 身に覚えのないプログラムのインストール、データの表示・変更・削除、または新しいユーザーアカウントの作成といった、システムの完全な制御を示す兆候。
• 技術的な兆候としては、デバッグ時にrep movs命令が非書き込み可能メモリ領域を指し、例外をトリガーしてクラッシュする可能性があります。

4. 推奨対策

4.1 本対策

• セキュリティ更新プログラムの適用: Microsoftが提供するセキュリティ更新プログラムを適用してください。この脆弱性は、Microsoftセキュリティ情報 MS10-087 で対処されています。ベンダーの指示に従って速やかに更新プログラムを適用することが推奨されます。

4.2 暫定回避策（緩和策）

• 電子メールをプレーンテキスト形式で読む: 電子メールを介した攻撃ベクトルから保護するために、電子メールメッセージをプレーンテキスト形式で読むように設定してください。
• Microsoft Officeファイルブロックポリシーの使用: 不明または信頼できないソースおよび場所からのRTFドキュメントの開封をブロックするために、Microsoft Officeのファイルブロックポリシーを使用することを検討してください。
• 最小特権の原則: システム上でより少ないユーザー権限を持つアカウントで操作することで、脆弱性悪用時の影響を軽減できます。

他に解説すべき観点

• CWE (Common Weakness Enumeration): CWE-787 (Stack-based Buffer Overflow) および CWE-119 (Improper Restriction of Operations within the Bounds of a Memory Buffer / Out-of-bounds Write) に分類されます。
• 攻撃シナリオ: 攻撃者は通常、特別に細工されたRTFファイルを標的のユーザーに送信し、ユーザーが脆弱なバージョンのMicrosoft Officeでそのファイルを開くことで悪用が成立します。
• 公開されているエクスプロイト: この脆弱性に対する公開エクスプロイト（Exploit-DB、Metasploitモジュールなど）が存在します。

参照したサイト

• Microsoft Security Intelligence - Exploit:Win32/CVE-2010-3333 threat description
• Microsoft Security Bulletin MS10-087 - Critical
• UK Cyber Defence - CVE-2010-3333 – Microsoft Office Stack-based Buffer Overflow…
• CVE Record - CVE-2010-3333
• CVE Explorer | Peter Bassill - CVE-2010-3333 — Patch first
• GitHub - CVE-2010-3333 · Stack-based buffer overflow in Microsoft Office XP SP3,...
• セキュリティNOW! サイバーセキュリティ情報ポータルサイト - CVE-2010-3333
• Boxer - CVE-2010-3333 Microsoft RTF stack overflow vulnerability
• CyberStack - CVE-2010-3333
• TangerangKota CSIRT - Microsoft Office Stack-based Buffer Overflow Vulnerability
• HackPE - CVE-2010-3333漏洞分析
• Microsoft セキュリティ情報 MS10-087 - 重大
• 腾讯云开发者社区 - CVE-2010-3333分析[漏洞战争]
• Kitploit - CVE-2010-3333-reproduction
• Microsoft Learn - Remediation Incomplete on Win32/CVE-2010-3333.AF -- Now what?
• INTERNET Watch - 11月のマイクロソフトセキュリティ更新を確認する
• 看雪论坛 - [原创]CVE-2010-3333漏洞分析与利用
• JVNTA#99041988: 標的型攻撃に使用されるリスクの高い脆弱性 Top 30
• tearorca - cve-2010-3333
• NVD - NIST
• Rapid7 - MS10-087 Microsoft Word RTF pFragments Stack Buffer Overflow (File Format)