Trusted Design

解説:

CVE-2014-0322について、以下の観点で解説します。

---

1. 脆弱性の概要

CVE-2014-0322は、Microsoft Internet Explorer 9および10に存在する「use-after-free（解放済みメモリ使用）」の脆弱性です。 リモートの攻撃者が、細工されたJavaScriptコード、CMarkup、およびスクリプト要素のonpropertychange属性を利用することで、任意のコードを実行する可能性があります。 この脆弱性は、2014年1月から2月にかけて、実際にゼロデイ攻撃で悪用されたことが確認されています。 攻撃には、複数の技術を組み合わせた「混合攻撃（hybrid exploit）」方式が用いられ、位置空間配置のランダム化（ASLR）やデータ実行防止（DEP）といった保護技術の回避が試みられました。

1.1 影響

この脆弱性が悪用されると、リモートで任意のコードが実行される可能性があります。 攻撃者は、現在のユーザーと同じユーザー権限を取得する可能性があるため、標的のユーザーが管理者権限で動作している場合、システムが完全に侵害される危険性があります。 組織にとっては、不正アクセスやシステム侵害につながるリスクがあり、機密性、完全性、可用性の全てにおいて「高」または「完全」な影響があると評価されています。

1.2 深刻度

• CVSS v3スコア: 8.8 (High)
• CVSS v2スコア: 9.3 (危険)
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 中
  • 攻撃前の認証要否: 不要
  • 機密性への影響: 全面的
  • 完全性への影響: 全面的
  • 可用性への影響: 全面的
• この脆弱性は、CISA（Cybersecurity and Infrastructure Security Agency）の「Known Exploited Vulnerabilities (KEV)」カタログに掲載されており、実際の悪用が確認されている重大な脆弱性であることを示しています。
• EPSS（Exploit Prediction Scoring System）スコアも高く、悪用される可能性が非常に高いと評価されています（85.1%または93.20%）。

2. 対象となる環境

2.1 影響を受けるOSバージョン

Microsoft Internet Explorer 9 および 10 が影響を受けます。 具体的には、mshtml.dllのバージョンが9.0.8112.16496から9.0.8112.16533の間、または9.0.8112.20000から20651の間のInternet Explorer 9、および9.0.8112.16540以前のmshtml.dllバージョンを持つIE 9が対象となります。

2.2 影響を受ける設定

攻撃は、ユーザーが細工されたウェブページを閲覧する際のユーザーインタラクションを必要とします。 攻撃者は、細工されたJavaScriptコード、CMarkup、およびスクリプト要素のonpropertychange属性を利用します。 また、攻撃には悪意のあるFlashファイルとJavaScriptが組み合わせて利用されることが報告されています。

3. 影響を受けた時の兆候

• 改ざんされたウェブページにアクセスすると、マルウェアに感染する可能性があります。
• 脆弱性を悪用された場合、Internet Explorerが停止（クラッシュ）するなどの異常な動作が見られることがあります。
• 改ざんされたウェブサイト内に、HTMLファイル、FlashのSWFファイル、JavaのJARファイルといった不正なファイルが設置されることがあります。
• これらの不正なファイルを介して、他のサイトからマルウェアがダウンロードされ、実行される可能性があります。

4. 推奨対策

4.1 本対策

• Microsoftが提供するセキュリティ更新プログラムを直ちに適用してください。詳細については、Microsoft Security Bulletin MS14-012を参照してください。
• 可能であれば、影響を受けないInternet Explorer 11へのアップグレードを検討してください。

4.2 暫定回避策（緩和策）

• Microsoftは、この脆弱性に対応するための「Fix it」ツールを提供していました。このツールは、再起動なしでインストール可能で、最新のセキュリティ更新プログラム（MS14-010）が適用されたInternet Explorer 9または10のシステムで有効でした。
• Enhanced Mitigation Experience Toolkit（EMET）の導入も有効な緩和策でした。EMETがインストールされているシステムでは、この脆弱性を悪用する特定のエクスプロイトが実行を拒否することが確認されています。EMETのデフォルト設定で、EAFおよびAnti-Detour機能が攻撃をブロックします。
• 潜在的に悪意のあるサイトへのアクセスを制限するために、ネットワーク制御を実装してください。
• Internet Explorerに関連する不審な活動がないか、継続的に監視を行ってください。

その他に解説すべき観点

• ゼロデイ脆弱性: CVE-2014-0322は、修正パッチが公開される前に実際の攻撃で悪用された、いわゆる「ゼロデイ脆弱性」でした。
• CWE（Common Weakness Enumeration）: この脆弱性は、CWE-416（Use-After-Free）に分類されます。
• 攻撃手法の詳細: 攻撃は、悪意のあるFlashファイルとJavaScriptを組み合わせた「混合攻撃」手法を使用し、ROP（Return Oriented-Programming）チェーンを利用して任意のコードを実行する複雑なものでした。

---

参照したサイト

• CVE-2014-0322 | High Vulnerability in Microsoft Internet Explorer - Appsecure Security
• CVE-2014-0322 – Microsoft Internet Explorer Use-After-Free… - UK Cyber Defence
• CVE-2014-0322 - LevelBlue - Open Threat Exchange - AlienVault OTX
• NVD-CVE-2014-0322 - National Vulnerability Database
• Fix it tool available to block Internet Explorer attacks leveraging CVE-2014-0322 - Microsoft
• 国内複数サイトが改ざん、狙いはIEのゼロデイ脆弱性 - Security NEXT
• CVE Record: CVE- CVE-2014-0322
• CVE-2014-0322: Microsoft Internet Explorer 0-day Vulnerability. | SecPod
• 臺灣大學計資中心網路組北區學術資訊安全維運中心 - CVE-2014-0322 弱點簡介與防制
• CVE-2014-0322 - すなのかたまり
• 2014 年 10 月の Microsoft セキュリティ情報の概要 - Microsoft
• 共通脆弱性識別子（CVE）の理解 - SentinelOne
• OSを脆弱性のある古い状態へ巻き戻す「Windows Downdate」攻撃、Kasperskyなどが注意喚起 - 窓の杜