Trusted Design

解説:

CVE-2015-1641は、Microsoft Officeにおけるメモリ破損の脆弱性であり、リモートでコードが実行される可能性があります。この脆弱性は「Microsoft Office Memory Corruption Vulnerability」として知られています。

1. 脆弱性の概要

CVE-2015-1641は、Microsoft Officeソフトウェアがリッチテキスト形式（RTF）ファイルをメモリ内で適切に処理しないことに起因するメモリ破損の脆弱性です。

1.1 影響

この脆弱性が悪用されると、リモートの攻撃者が特別に細工されたRTFファイルを介して、任意のコードを実行できる可能性があります。攻撃者が脆弱性を悪用することに成功した場合、ログインしているユーザーと同じ権限で、プログラムのインストール、データの表示・変更・削除、または新しいアカウントの作成が可能になります。もし現在のユーザーが管理者権限でログインしている場合、攻撃者は影響を受けるシステムを完全に制御する可能性があります。

1.2 深刻度

NIST NVDによると、この脆弱性のCVSSv3.1基本スコアは7.8（High）と評価されています。 CISAの「Known Exploited Vulnerabilities Catalog」に掲載されており、実世界で活発に悪用されていることが確認されています。また、ゼロデイ脆弱性としても分類されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は特定のOSバージョンではなく、Microsoft Office製品のバージョンに影響を与えます。

2.2 影響を受ける設定

以下のMicrosoft Office製品が影響を受けます: * Microsoft Word 2007 SP3 * Office 2010 SP2 * Word 2010 SP2 * Word 2013 SP1 * Word 2013 RT SP1 * Word for Mac 2011 * Office Compatibility Pack SP3 * Word Automation Services on SharePoint Server 2010 SP2 and 2013 SP1 * Office Web Apps Server 2010 SP2 and 2013 SP1 * Microsoft Word Viewer * Office 365 (特定のバージョン、詳細は要確認)

3. 影響を受けた時の兆候

CISAは、この脆弱性に関連するIndicators of Compromise (IOCs) をAR20-133mで提供しています。具体的な兆候としては、以下が挙げられます。 * Microsoft Wordが通常ではないサブプロセス（例: MicroScMgmt.exe）を開始する。 * 不審なログイン試行。 * 同じファイルへの多数のアクセス要求。 * 不審なレジストリまたはシステムファイルの変更。 この脆弱性の悪用に関連するマルウェアとして、Toshliph、UWarriorが確認されています。

4. 推奨対策

4.1 本対策

• ベンダーの指示に従い、影響を受けるMicrosoft製品に最新のセキュリティパッチを速やかに適用してください。Microsoft Security Bulletin MS15-033で提供されている更新プログラムの適用が推奨されます。
• パッチ適用後、Word、Excelなど、すべてのOfficeアプリケーションを再起動して、保護が有効になっていることを確認してください。

4.2 暫定回避策（緩和策）

Microsoftは、この脆弱性に対する既知の緩和策や暫定的な回避策を特定していません。

5. その他解説すべき観点

• この脆弱性の悪用は、ユーザーが特別に細工されたMicrosoft Officeファイルを開くことを必要とします。
• 電子メール攻撃のシナリオでは、攻撃者は特別に細工されたファイルをユーザーに送りつけ、そのファイルを開くよう説得することで脆弱性を悪用する可能性があります。
• ウェブベースの攻撃シナリオでは、攻撃者は細工されたファイルをホストするウェブサイトを設置し（またはユーザー提供のコンテンツを受け入れる、あるいはホストする侵害されたウェブサイトを利用し）、ユーザーを誘導してそのファイルを開かせる必要があります。
• この脆弱性はCISAのKnown Exploited Vulnerabilities Catalogに掲載されており、米国の連邦政府機関には2022年5月3日までにこの脆弱性を修正することが義務付けられていました。

---

参照元: * Top 10 Routinely Exploited Vulnerabilities - CISA * NVD-CVE-2015-1641 - NIST * Multiple vulnerabilities in Microsoft Office could allow remote code execution - Safe Computing - University of Michigan * CVE-2015-1641: Microsoft Office Memory Corruption Vulnerability - Safeguard * CVE-2015-1641 - CVE Record * CVE-2015-1641 - CVE Details, Severity, and Analysis | Strobes VI * Microsoft Security Bulletin MS15-033 - Critical * CVE-2015-1641 Security Advisory | Griffin Technology Partners * Known Exploited Vulnerabilities Catalog - CISA * Exploit for CVE-2015-1641 - Detection.FYI * CVE-2015-1641 | セキュリティNOW! サイバーセキュリティ情報ポータルサイト - SMS DataTech * 17 Common Indicators of Compromise - Graylog * Microsoft Word Security Feature Bypass Vulnerability - Avertium