Trusted Design

解説:

CVE-2013-1331に関する調査結果を以下にまとめます。

1. 脆弱性の概要

CVE-2013-1331は、Microsoft Officeのバッファオーバーフローの脆弱性です。攻撃者は、特別に細工されたPNGデータを含むOfficeドキュメントを介して、リモートで任意のコードを実行する可能性があります。この脆弱性は「Office Buffer Overflow Vulnerability」としても知られています。この脆弱性の原因は、悪意のあるPNGファイルを処理する際に、ユーザー提供データに対する境界チェックが不十分であることにあります。

1.1 影響

リモートの攻撃者が、現在のユーザーの権限でターゲットシステム上で任意のコードを実行する可能性があります。この脆弱性の悪用に成功すると、システム上で任意のコードが実行されます。この脆弱性は実環境で積極的に悪用されたことが確認されており、CISAのKnown Exploited Vulnerabilities (KEV) カタログに登録されています。

1.2 深刻度

• CVSS v2 基本評価値: 9.3 (緊急 - High)
  • ベクター: AV:N/AC:M/Au:N/C:C/I:C/A:C
• CVSS v3.1 基本評価値: 7.8 (重要 - High)
  • ベクター: AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
• EPSS: 0.81877 (または 81.7%)。これは、高い確率で悪用される可能性を示しています。
• CISAのKEVカタログに登録されていることは、CVSSスコア単独よりも強力なシグナルであり、実際に悪用が観測されていることを意味します。

2. 対象となる環境

2.1 影響を受けるOSバージョン

• Microsoft Office 2003 SP3
• Office 2011 for Mac
• Office 2003世代のインストールを含む、サポートされていない古いOfficeビルド

2.2 影響を受ける設定

この脆弱性は、細工されたPNGデータを含むOfficeドキュメントを処理することでトリガーされます。被害者が特別に細工されたOfficeドキュメントを開く必要があります。特定のシステム設定に関する情報は見つかりませんでした。

3. 影響を受けた時の兆候

具体的な影響を受けた際の兆候（Indicators of Compromise: IoC）に関する詳細な情報は見つかりませんでした。影響は任意のコード実行です。既知のマルウェアとして「Trojan.Mdropper」が言及されています。

4. 推奨対策

4.1 本対策

• ベンダーの指示に従って更新プログラムを適用してください。具体的には、Microsoft Security Update Guide (MSRC) を参照し、Microsoftが提供するセキュリティ更新プログラム（MS13-051に相当）を適用する必要があります。
• サポートされていないOffice 2003世代のインストール（Mac版を含む）は、パッチ適用だけでは安全にできないため、サポートされているバージョンに置き換える必要があります。
• Microsoftのセキュリティ更新プログラムは通常、毎月Windows Updateを通じて累積パッチとして提供されます。

4.2 暫定回避策（緩和策）

この脆弱性に対する具体的な暫定回避策に関する情報は見つかりませんでした。悪意のあるOfficeドキュメントを開くことがトリガーとなるため、信頼できない送信元からのドキュメントを開かないといった一般的な対策が考えられますが、本CVEに特化した緩和策は公開されていません。

他に解説すべき観点

• 実環境での悪用: この脆弱性は実環境で活発に悪用されていることが確認されており、2022年6月8日にCISAのKnown Exploited Vulnerabilities (KEV) カタログに追加されました。連邦機関は2022年6月22日までに修正措置を講じるよう義務付けられていました。
• 発見者: この脆弱性はGoogle Inc.のAndrew LyonsとNeel Mehtaによって報告されました。
• 標的型攻撃: この脆弱性は、特にOffice 2003およびOffice for Macユーザーを標的とした攻撃で悪用が確認されています。2009年まで遡る初期の悪用ドキュメントはアジアの領土紛争に言及しており、攻撃はインドネシアとマレーシアに限定されていたと考えられています。
• CWE: CWE-119 - メモリ破損。

参照したサイト

• CVE-2013-1331: Microsoft Office Buffer Overflow Vulnerability - Safeguard
• CVE-2013-1331 | Tenable®
• CVE-2013-1331 – Microsoft Office Buffer Overflow Vulnerability –… - UK Cyber Defence
• Zero-day vulnerability in Microsoft Office
• Buffer overflow in Microsoft Office and Microsoft Office for macOS - CVE-2013-1331
• CVE-2013-1331 - Microsoft Office Buffer Overflow Vulnerability | turingpoint
• CVE-2013-1331 exploited: patch Microsoft Office now - Senserva
• Web Attack: Microsoft Office CVE-2013-1331 2 - Broadcom Inc.
• CVE Program Container (CVE-2013-1331) | HOL Guard CVE
• 脆弱性管理におけるCVEと修正パッチについて - NEC