Trusted Design

解説:

CVE-2015-1642は、Microsoft Officeにおけるメモリ破損の脆弱性です。以下に各観点から解説します。

1. 脆弱性の概要

CVE-2015-1642は、Microsoft Officeのメモリ破損の脆弱性であり、「Microsoft Office Memory Corruption Vulnerability」とも呼ばれています。巧妙に細工されたドキュメントを介して、リモートの攻撃者が任意のコードを実行できる可能性があります。 この脆弱性は、メモリ破損を引き起こす特定の操作によって発生します。 NCC Groupの調査では、「CTaskSymbol Use-After-Free」の脆弱性としても言及されています。

1.1 影響

この脆弱性が悪用された場合、攻撃者は影響を受けるシステム上で任意のコードを実行する可能性があります。 結果として、システムの制御を奪われたり、データが改ざんされたり、情報漏洩が発生したりする危険性があります。

1.2 深刻度

CVSS (Common Vulnerability Scoring System) v3.1による基本評価スコアは7.8で、「High（高）」と評価されています。 VulDBでは「Critical（緊急）」に分類されています。 最大のセキュリティ影響は「リモートでコードが実行される」ことです。

CVSS v3.1 Vector: (CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H) * AV:L (Attack Vector: Local): 攻撃者はローカルアクセスを必要としますが、これは通常、悪意のあるドキュメントをユーザーに開かせることで達成されます。 * AC:L (Attack Complexity: Low): 攻撃の複雑さは低いです。 * PR:N (Privileges Required: None): 攻撃者に特権は不要です。 * UI:R (User Interaction: Required): ユーザーが操作（例：細工されたドキュメントを開く）を行う必要があります。 * C:H (Confidentiality Impact: High): 機密性への影響は高いです。 * I:H (Integrity Impact: High): 完全性への影響は高いです。 * A:H (Availability Impact: High): 可用性への影響は高いです。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性はOSバージョン自体ではなく、以下のMicrosoft Office製品のバージョンに影響を与えます。 * Microsoft Office 2007 Service Pack 3 (SP3) * Microsoft Office 2010 Service Pack 2 (SP2) * Microsoft Office 2013 Service Pack 1 (SP1) * Microsoft Office 2013 RT Service Pack 1 (SP1) * Microsoft Office 2016 * Office Compatibility Pack Service Pack 3 (SP3) * Office for Mac 2011 * Word Viewer

2.2 影響を受ける設定

この脆弱性は、特定のOffice製品のバージョンがインストールされている環境で影響を受けます。特に、Object Linking and Embedding (OLE) オブジェクトの処理に関連しており、特別な設定変更を必要とせずに悪用される可能性があります。 攻撃は認証なしでリモートから開始可能ですが、ユーザーが細工されたドキュメントを開く必要があります。

3. 影響を受けた時の兆候

検索結果からは、この脆弱性が悪用された際の具体的なユーザーが視認できる兆候についての詳細な記述は見つかりませんでした。一般的に、リモートコード実行の脆弱性は、攻撃者がシステムを乗っ取ることを目的としているため、直接的な兆候が現れないこともあります。しかし、不審なプロセスが実行されたり、異常なネットワーク通信が発生したりする可能性があります。

4. 推奨対策

4.1 本対策

Microsoftが提供するセキュリティパッチを適用することが最も推奨される恒久的な対策です。 この脆弱性に対応するパッチは、セキュリティ情報「MS15-081」として公開されています。 ベンダーの指示に従い、利用可能な更新プログラムを適用してください。

4.2 暫定回避策（緩和策）

この脆弱性に対しては、情報公開直後に緩和策が公開されたとされています。 また、TippingPointおよびフィルター19705を使用して、この種の攻撃を検出および阻止することが可能です。

一般的な脆弱性に対する暫定的な回避策としては、以下のようなものが考えられますが、CVE-2015-1642に特化した詳細な暫定回避策は検索結果に明記されていません。 * 信頼できない送信元からのOfficeドキュメントを開かない。 * 重要なシステムからのインターネットアクセスを制限する。 * Web Application Firewall (WAF) や Endpoint Detection and Response (EDR) などのセキュリティソリューションを導入し、異常な挙動を監視・ブロックする。

CISAは、回避策はあくまで暫定的な手段であり、公式パッチが利用可能になったら移行することが望ましいと案内しています。

他に解説すべき観点

• CISA Known Exploited Vulnerabilities Catalogへの登録: CVE-2015-1642は、CISA (米国サイバーセキュリティ・社会基盤安全保障庁) の「Known Exploited Vulnerabilities Catalog（既知の悪用されている脆弱性カタログ）」に2022年3月3日付けで登録されており、2022年3月24日までにアップデートを適用することが求められています。 これは、この脆弱性が実際に悪用されていることを意味し、早急な対策の重要性を示しています。
• エクスプロイトの存在: この脆弱性に対するエクスプロイト（攻撃コード）が存在し、実際に攻撃に利用されたことが報告されています。

参照したサイト

• CVE-2015-1642 Microsoft Office memory corruption (MS15-081 / Nessus ID 85350)
• CVE-2015-1642 - CVE Record
• CVE-2015-1642 - Microsoft Office Memory Corruption Vulnerability | turingpoint
• CVE-2015-1642: Out-of-bounds Write | Rapid7 Vulnerability Database
• CVE-2015-1642 - CyberStack
• NVD-CVE-2015-1642 - NIST
• Understanding Microsoft Word OLE Exploit Primitives: Exploiting CVE-2015-1642 Microsoft Office CTaskSymbol Use-After-Free Vulnerability | NCC Group
• CVE-2015-1642 — Patch first - Peter Bassill
• Microsoft セキュリティ情報 MS15-081 - 重大
• 脆弱性対応とは？CVE対応とパッチ管理の実務フロー | BBSec SQAT®.jp