Trusted Design

解説:

CVE-2013-3906に関する調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2013-3906は、Microsoft グラフィックスコンポーネント（GDI+）に存在するメモリ破損の脆弱性です。攻撃者は、巧妙に細工されたTIFF画像を介してこの脆弱性を悪用し、リモートで任意のコードを実行する可能性があります。この脆弱性は、Word文書内の画像を通じて実環境で悪用されたことが確認されており、2013年10月および11月に実際に悪用されました。

1.1 影響

この脆弱性が悪用された場合、リモートの攻撃者によって任意のコードが実行される可能性があります。攻撃に成功すると、攻撃者は影響を受けるシステムを完全に制御できるようになります。これにより、プログラムのインストール、データの閲覧・変更・削除、完全なユーザー権限を持つ新しいアカウントの作成などが可能になります。標的型攻撃では、マルウェアのインストールに利用されました。

1.2 深刻度

• CVSS v2 基本評価値: 7.8 (高)
• CVSS v3.1 ベクトル: AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

このCVEは、CISA (米国サイバーセキュリティ・社会基盤安全保障庁) の「Known Exploited Vulnerabilities Catalog (既知の悪用された脆弱性カタログ)」に掲載されており、実際に悪用されたことが確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性の影響を受ける主なMicrosoft製品およびOSバージョンは以下の通りです。

• Microsoft Windows Vista SP2
• Microsoft Windows Server 2008 SP2
• Microsoft Office 2003 SP3
• Microsoft Office 2007 SP3
• Microsoft Office 2010 SP1 および SP2 (Windows XPまたはWindows Server 2003のような古いプラットフォームで実行されている場合のみ影響を受けます。Windows 7, 8, 8.1では影響を受けません。)
• Microsoft Office Compatibility Pack SP3
• Microsoft Lync 2010
• Microsoft Lync 2010 Attendee
• Microsoft Lync 2013
• Microsoft Lync Basic 2013

影響を受けないOS/製品: * Windows 7 * Windows 8 * Office 2013 * Office 365

2.2 影響を受ける設定

この脆弱性は、影響を受けるコンポーネントが特別に細工されたTIFF画像を処理する方法に存在します。攻撃は、ユーザーをだまして細工されたファイル（例: 悪意のある画像が埋め込まれたWord文書）を開かせたり、細工された電子メールメッセージをプレビューさせたり、細工されたWebコンテンツを閲覧させたりすることで悪用される可能性があります。

エクスプロイトは、DEP (データ実行防止) および ASLR (アドレス空間配置のランダム化) といった一般的な緩和策を回避する複数の技術を組み合わせています。Office文書に埋め込まれたActiveXコントロールをブロックするように強化されたマシン（例: Office 2010の保護されたビューモード）や、静的なROPガジェットを構築するために使用されるモジュールのバージョンが異なるマシンでは、エクスプロイトが失敗する可能性があります。

3. 影響を受けた時の兆候

この脆弱性の直接的な兆候は、公開情報では明確に記載されていません。しかし、脆弱性が悪用された場合、システムはリモートコード実行およびマルウェア感染の状態になります。したがって、以下のようなマルウェア感染の兆候が見られる可能性があります。

• システムの不安定性やパフォーマンスの低下
• 予期せぬプログラムの実行やプロセス
• 異常なネットワーク通信
• アンチウイルス製品による Exploit.Win32.CVE-2013-3906.a などの検出
• マルウェアによるファイルの作成、変更、削除

4. 推奨対策

4.1 本対策

Microsoftは、この脆弱性に対処するためにセキュリティ更新プログラム MS13-096 をリリースしています。影響を受けるシステムには、速やかにこのセキュリティ更新プログラムを適用することが強く推奨されます。

4.2 暫定回避策（緩和策）

正式なパッチが適用されるまでの間、以下の暫定回避策が利用できました。

• Microsoft Fix it: Microsoftは、脆弱性のあるTIFFグラフィック形式のレンダリングをレジストリキーを介してブロックする一時的な「Fix it」回避策を提供していました。
• ユーザー教育: 攻撃は、ユーザーが細工されたWord添付ファイルを開くなどの操作を必要とするため、不審なメールの添付ファイルを開かない、不審なWebサイトを閲覧しないといったユーザーへのセキュリティ意識向上と教育が重要です。
• 保護されたビューの活用: Office 2010などのバージョンで利用可能な「保護されたビュー」は、Office文書に埋め込まれたActiveXコントロールをブロックし、この種のエクスプロイトに対する耐性を高めることができます。
• 高度なエクスプロイト防止 (AEP): 高度なエクスプロイト防止技術は、エクスプロイトの起動をブロックする可能性があります。

5. その他解説すべき観点

• ゼロデイ脆弱性: この脆弱性は、Microsoftが認識し、パッチをリリースする前に実際に悪用されていたゼロデイ脆弱性でした。
• 標的型攻撃での悪用: 観測された攻撃は非常に限定的で、主に中東および南アジアの特定のコンピューターに対して行われました。

参照したサイト

• CVE-2013-3906: Microsoft グラフィックス コンポーネントのメモリ破損の脆弱性 | Kitploit
• CVE-2013-3906 - CVE Record - NIST
• CVE Cross Reference 2013
• CVE-2013-3906 – Microsoft Graphics Component Memory Corruption… - UK Cyber Defence
• CVE-2013-3906 : Zero Day Vulnerability in Microsoft Graphics Component - The Hacker News
• CVE-2013-3906: a graphics vulnerability exploited through Word documents - Microsoft Security Blog
• CVE-2013-3906 : Another 0-day for Microsoft Office | Securelist
• CVE-2013-3906 — Patch first | CVE Explorer - Peter Bassill
• NVD-CVE-2013-3906 - NIST
• Analysis of a CVE-2013-3906 Exploit - CrowdStrike
• 標的型メール訓練サービス｜サイバープロテクター｜三井住友海上火災保険