Trusted Design

解説:

CVE-2012-2539について、以下の観点で解説します。

---

1. 脆弱性の概要

1.1 影響 Microsoft Word および関連するOfficeソフトウェアが、巧妙に細工されたRTF（Rich Text Format）データを解析する方法にリモートコード実行の脆弱性が存在します。この脆弱性が悪用された場合、攻撃者は影響を受けるシステムを完全に制御する可能性があります。これにより、プログラムのインストール、データの表示・変更・削除、または完全なユーザー権限を持つ新しいアカウントの作成が可能になります。システム上で少ないユーザー権限を持つアカウントで操作しているユーザーは、管理者権限で操作しているユーザーよりも影響が少ない可能性があります。また、サービス運用妨害（メモリ破損）を引き起こす可能性もあります。

1.2 深刻度 * CVSS v2.0 基本評価基準: 9.3 (危険 - Critical) * 攻撃元区分: ネットワーク * 攻撃条件の複雑さ: 中 * 攻撃前の認証要否: 不要 * 機密性への影響(C): 全面的 * 完全性への影響(I): 全面的 * 可用性への影響(A): 全面的 * CVSS v3.0 基本評価基準: 8.8 (重要 - High) * 攻撃元区分: ネットワーク * 攻撃条件の複雑さ: 低 * 攻撃に必要な特権レベル: 不要 * 利用者の関与: 要 * 影響の想定範囲: 変更なし * 機密性への影響(C): 高 * 完全性への影響(I): 高 * 可用性への影響(A): 高 この脆弱性は、CISA（サイバーセキュリティ・インフラセキュリティ庁）の既知の悪用されている脆弱性カタログ（Known Exploited Vulnerabilities Catalog）に含まれており、実際に悪用が確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン 本脆弱性は、特定のOSバージョンではなく、Microsoft Word および関連するOfficeコンポーネントに存在します。影響を受けるソフトウェアは以下の通りです。 * Microsoft Word 2003 SP3 * Microsoft Word 2007 SP2 および SP3 * Microsoft Word 2010 SP1 * Word Viewer * Office Compatibility Pack SP2 および SP3 * Office Web Apps 2010 SP1

2.2 影響を受ける設定 この脆弱性は、Microsoft Officeソフトウェアが特別に細工されたRTF形式のデータを解析する際に発生します。特定の「設定」が脆弱性を直接引き起こすわけではありませんが、脆弱なソフトウェアが存在する環境でRTFファイルを処理する際にリスクが発生します。

3. 影響を受けた時の兆候

直接的な「兆候」として挙げられる具体的なログエントリやシステム動作は検索結果からは明確ではありませんでした。しかし、本脆弱性が悪用され、リモートコード実行が成功した場合、攻撃者はシステムを完全に制御できるため、以下のような兆候が現れる可能性があります。 * 身に覚えのないプログラムのインストール * データの不審な変更、削除、または閲覧 * 不審な新規ユーザーアカウントの作成 * システムパフォーマンスの低下や不安定化

セキュリティゲートウェイやIPS（侵入防止システム）などの保護が導入されている場合、不正なWord RTFファイルの転送を検出し、「Content Protection Violation」のようなログが記録されることがあります。

4. 推奨対策

4.1 本対策 ベンダー（Microsoft）が提供するセキュリティ更新プログラムを適用することが最も推奨される対策です。この脆弱性に対するセキュリティ更新プログラムはMS12-079として提供されています。

4.2 暫定回避策（緩和策） * 電子メールからの攻撃に対する保護: Microsoft Outlook 2003、Microsoft Outlook 2007、および Microsoft Outlook 2010を使用している場合、電子メールメッセージをプレーンテキスト形式で読むように設定することで、電子メールを介した攻撃ベクトルから保護するのに役立ちます。 * ユーザー権限の制限: システム上でユーザーアカウントが少ない権限で構成されている場合、脆弱性悪用時の影響が軽減される可能性があります。 * ネットワークレベルでの防御: 悪意のあるWord RTFファイルがHTTP経由で転送されるのをブロックするために、IPSなどのセキュリティデバイスでMS12-079に関する保護を有効にすることが考えられます。

その他に解説すべき観点

• CVE ID: CVE-2012-2539
• 脆弱性名: Word RTF 'listoverridecount' Remote Code Execution Vulnerability
• NVD公開日: 2012年12月11日
• CISA KEVカタログへの追加日: 2022年3月28日

---

参照したサイト:

• CVE-2012-2539 Detail - NVD - NIST
• CVE-2012-2539 - CVE Record
• Microsoft Security Bulletin MS12-079 - Critical
• Microsoft Word RTF listoverridecount Remote Code Execution (MS12-079; CVE-2012-2539)
• CVE-2012-2539 — Microsoft Word | NexaPulse - Fastnexa
• CVE-2012-2539 Security Advisory - Griffin Technology Partners
• CVE-2012-2539 — Microsoft Word Remote Code Execution Vulnerability - Pulse - Kalir.io
• JVNDB-2012-002694 - JVN iPedia - 脆弱性対策情報データベース (注: この参照はCVE-2012-1889に関するものでしたが、CVSSv2/v3の深刻度評価に関する一般的な理解の参考としてのみ引用し、CVE-2012-2539のCVSSスコアはNVDの公式情報（）および他のMicrosoftのセキュリティ情報に基づいて記載しています。JVN iPediaでCVE-2012-2539に直接関連するエントリーはJVNDB-2012-005695（）に見られ、MS12-079の記述もありますが、CVSSスコアはの方が詳細です。そのため、CVSSスコアはとを合わせて参考にしました。)