Trusted Design

解説:

CVE-2013-1347について、以下の観点から解説します。

1. 脆弱性の概要

CVE-2013-1347は、Microsoft Internet Explorer 8 (IE8) におけるメモリ内のオブジェクトの不適切な処理に関する脆弱性です。これは、適切に割り当てられていない、または既に解放されたオブジェクトにアクセスすることで、リモートの攻撃者が任意のコードを実行できるUse-After-Freeの脆弱性として知られています。この脆弱性は2013年5月にゼロデイ攻撃として実世界で悪用されました。具体的には、IE 8の「CGenericElementオブジェクト」に存在し、細工されたWebページを閲覧させることでメモリ破壊を引き起こし、任意のコード実行につながる可能性があります。

1.1 影響

この脆弱性が悪用された場合、リモートの攻撃者によって任意のコードが実行される可能性があります。これにより、攻撃者は被害者のシステムを完全に制御できる状態に陥る可能性があります。

1.2 深刻度

CVE-2013-1347は深刻度の高い脆弱性であり、CVSSスコアは8.8です。米国のCISA (Cybersecurity and Infrastructure Security Agency) は、この脆弱性を「Known Exploited Vulnerabilities (KEV) Catalog」に掲載しており、実際に悪用が確認されていることを示しています。EPSS (Exploit Prediction Scoring System) の悪用確率も77.7%と高く評価されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

• Microsoft Internet Explorer 8 (IE8) が影響を受けます。
• Internet Explorer 7以前のバージョンは影響を受けません。
• Internet Explorer 9以降のバージョンも影響を受けません。
• この脆弱性の分析では、Windows 7 32ビットUltimate上のInternet Explorer 8.0.7601.17514が脆弱な環境として特定されています。

2.2 影響を受ける設定

特定の「影響を受ける設定」については明確な記述はありませんが、脆弱性は細工されたWebページの閲覧によって悪用されるため、通常の設定でIE8を使用している場合に影響を受けます。後述の緩和策で示されるように、ブラウザのセキュリティ設定が関与する可能性があります。

3. 影響を受けた時の兆候

この脆弱性は「水飲み場型攻撃（Watering Hole Attack）」で悪用された事例が報告されています。例えば、2013年5月には米国労働省のウェブサイトが侵害され、IE8を使用している訪問者がこの脆弱性を悪用されたとされています。

一般的な兆候としては、攻撃者が任意のコードを実行できるため、以下のような現象が考えられます。ただし、具体的な侵害の兆候は、攻撃の性質や目的に応じて異なります。

• 身に覚えのないプログラムの実行やプロセスの起動
• システムのパフォーマンス低下
• 不審なネットワーク通信
• 予期しないシステムのクラッシュやフリーズ

4. 推奨対策

4.1 本対策

• ベンダーによるアップデートの適用: Microsoft社から提供されるセキュリティ更新プログラムを適用することが最も重要です。
• Internet Explorerの最新バージョンへのアップグレード: Internet Explorer 8は本脆弱性の影響を受けますが、IE9以降のバージョンは影響を受けないため、可能であればInternet Explorerの最新バージョンへのアップグレードが推奨されます。
• CISAは、連邦政府機関に対して2022年3月24日までにこの脆弱性に対処するよう期限を設けていました。

4.2 暫定回避策（緩和策）

• ブラウザのセキュリティ設定の強化: Internet Explorerのセキュリティ設定を「高」に設定し、「ActiveScript」や「ActiveX」の動作を制限する。
• Microsoft Enhanced Mitigation Experience Toolkit (EMET) の活用: EMETは、既知の脆弱性やゼロデイ脆弱性を悪用する攻撃からの保護を強化するためのツールです。
• 不審なメールやサイトへの注意: 攻撃者は不審なメールや改ざんされたWebサイトを通じて脆弱性を悪用するサイトへ誘導する可能性があるため、注意が必要です。

他に解説すべき観点

• ゼロデイ攻撃: この脆弱性は、修正パッチが提供される前に実際に悪用された「ゼロデイ攻撃」として注目されました。
• CWE分類: CVE-2013-1347は、CWE-94: Improper Control of Generation of Code ('Code Injection') に分類される可能性があります。ただし、Use-After-Freeも主要な原因として挙げられています。

参照したサイト

• CVE-2013-1347 - CVE Record
• CVE-2013-1347: Microsoft Internet Explorer Remote Code Execution Vulnerability
• CVE-2013-1347 – Microsoft Internet Explorer Remote Code Execution…
• 「IE 8」に未修正の脆弱性、ゼロデイ攻撃が発生中 - 不正サイト閲覧でコード実行のおそれ (Security NEXT)
• Web Attack: MSIE Use After Free CVE-2013-1347 - Broadcom Inc.
• CVE-2013-1347 exploited: patch Microsoft Internet Explorer now - Senserva
• CVE-2013-1347分析- 一生热爱 - 博客园
• CVE-2013-1347: Sicherheitsanfälligkeit bezüglich Remotecodeausführung in Microsoft Internet Explorer | Kitploit