Trusted Design

解説:

CVE-2013-3918は、Microsoft Internet ExplorerのActiveXコントロールにおけるリモートコード実行の脆弱性です。

1. 脆弱性の概要

1.1 影響

この脆弱性が悪用されると、攻撃者は特別に細工されたウェブページをユーザーに閲覧させることで、現在のユーザーと同じ権限で任意のコードを実行する可能性があります。現在のユーザーが管理者権限でログオンしている場合、攻撃者は影響を受けるシステムを完全に制御し、プログラムのインストール、データの表示・変更・削除、または完全なユーザー権限を持つ新しいアカウントの作成が可能になります。また、サービス運用妨害 (Denial of Service) を引き起こす可能性もあります。

1.2 深刻度

この脆弱性のCVSSv2の基本評価値は9.3（危険）であり、CVSSv3.1の評価値は8.8（High）とされています。 2013年11月には既に実環境での悪用が確認されており、ゼロデイ脆弱性として扱われました。 米国CISAのKnown Exploited Vulnerabilities Catalogにも追加されており、活発に悪用されていることが示されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は、以下のMicrosoft WindowsおよびInternet Explorerのバージョンに影響を与えます。 * Microsoft Windows XP SP2 および SP3 * Windows Server 2003 SP2 (x64, Itanium-based Systemsを含む) * Windows Vista SP2 (x64を含む) * Windows Server 2008 SP2 (x86, x64, Itanium-based Systemsを含む) * Windows Server 2008 R2 SP1 (x64, Itanium-based Systemsを含む) * Windows 7 SP1 (x32, x64を含む) * Windows 8 (32-bit, 64-bitを含む) * Windows 8.1 (32-bit, x64-based Systemsを含む) * Windows RT * Windows RT 8.1 * Windows Server 2012 (Gold および R2) * Internet Explorer 7、8、9、10

2.2 影響を受ける設定

脆弱性は、icardie.dll内のInformationCardSigninHelper Class ActiveX controlに存在します。 ユーザーがInternet Explorerで特別に細工されたウェブページを閲覧し、このActiveXコントロールをインスタンス化する際に悪用されます。

Windows Server 2003、Windows Server 2008、Windows Server 2008 R2、Windows Server 2012、およびWindows Server 2012 R2上のInternet Explorerは、デフォルトで拡張セキュリティ構成(Enhanced Security Configuration)モードで実行されるため、この脆弱性に対する軽減策が講じられています。

3. 影響を受けた時の兆候

攻撃が成功した場合の兆候としては、任意のコード実行の結果としてrundll32プロセスが作成され、特定のIPアドレスやポート（例: 111.X.X.93:443）へのTCPリクエストが試行されることが観測されています。 SonicWallは、この攻撃を検出するためのIPSシグネチャ（"IPS 7600 InformationCardSigninHelper ActiveX Instantiation (MS13-090)"および"SPY 4736 CVE-2013-3918"）を公開しています。 一般的に、影響を受けたシステムでは侵入の兆候がないか確認すべきです。

4. 推奨対策

4.1 本対策

Microsoftは、セキュリティ情報MS13-090でこの脆弱性を修正する更新プログラムをリリースしています。 この更新プログラムには、ActiveX Kill Bitsの累積的なセキュリティ更新プログラム（2900986）が含まれています。 自動更新が有効になっている場合、ユーザーは自動的に保護されます。

4.2 暫定回避策（緩和策）

• Internet ExplorerでActiveXコントロールを無効にする。
• Internet Explorerの拡張保護モード(Enhanced Protected Mode)を使用する。
• 信頼できるサイトのみにウェブブラウジングを制限する。
• Windows Server環境でデフォルトで有効になっているInternet Explorer拡張セキュリティ構成 (IESC) は、この脆弱性を緩和します。
• Enhanced Mitigation Experience Toolkit (EMET) は、このエクスプロイトを積極的に軽減できることが確認されています。

その他解説すべき観点

• 実環境での悪用 (Exploitation in the Wild): この脆弱性は2013年11月時点で積極的に悪用されており、Windows XP上のInternet Explorer 7および8を標的としたドライブバイダウンロード攻撃が確認されています。 APTグループ（Operation Aurora、Operation DeputyDog、Operation Ephemeral Hydraなど）に関連する攻撃インフラとの関連性も指摘されています。
• CISA Known Exploited Vulnerabilities Catalog: 米国CISAは、この脆弱性を「Known Exploited Vulnerabilities Catalog」に追加しており、2025年10月6日時点で連邦政府機関に対して2025年10月27日までに修正措置を講じるよう義務付けています。 これは、この脆弱性の修正が非常に重要であることを示しています。

参照したサイト

• Microsoft Security Bulletin MS13-090 - Critical
• NVD-CVE-2013-3918 - NIST
• CVE-2013-3918 - Exploits & Severity - Feedly
• Technical details of the targeted attack using IE vulnerability CVE-2013-3918 - Microsoft
• CVE-2013-3918 - CVE Record
• CVE-2013-3918 | Tenable®
• JVNDB-2013-005059 - JVN iPedia - 脆弱性対策情報データベース
• CVE-2013-3918 - Wavense
• CVE-2013-3918 — פרטי פגיעות - TechRS
• CVE-2013-3918 — Microsoft Windows | CyberBrief - Fastnexa
• 任意のコードが実行される脆弱性（CVE-2013-3918）に関する検証レポート – (n)
• Zero-day vulnerability in InformationCardSigninHelper Class ActiveX control - zero-day.cz
• Microsoft InformationCardSigninHelper Class ActiveX control (CVE-2013-3918) exploit spotted in the Wild (November 20, 2013) - SonicWall
• 2013 年 11 月の Microsoft セキュリティ情報の概要
• CVE-2013-3918: Microsoft Windows Out-of-Bounds Write Vulnerability - Safeguard
• CVE-2013-3918: Improper Restriction of Operations within the Bounds of a Memory Buffer | Rapid7 Vulnerability Database
• CVE-2013-3918 — exploited in the wild (CISA KEV): remediation & advisories | VulnTrek