Trusted Design

CVE-2015-2387 の詳細

CVEの情報

説明:
ATMFD.DLL in the Adobe Type Manager Font Driver in Microsoft Windows Server 2003 SP2, Windows Vista SP2, Windows Server 2008 SP2 and R2 SP1, Windows 7 SP1, Windows 8, Windows 8.1, Windows Server 2012 Gold and R2, and Windows RT Gold and 8.1 allows local users to gain privileges via a crafted application, aka "ATMFD.DLL Memory Corruption Vulnerability."

CVE更新日: 2015-07-14 22:59:08.103000

CVSSバージョン: 3.1

CVSSスコア: 7.8

KEVの情報

KEV更新日: 2022-03-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.348780000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2015-2387について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2015-2387は、Microsoft WindowsおよびWindows ServerのAdobe Type Manager Font Driver（ATMFD.DLL）に存在するメモリ破損の脆弱性です。この脆弱性は、ATMFD.DLLモジュールがメモリ内のオブジェクトを適切に処理しない際の境界エラーに起因します。この脆弱性が悪用されると、ローカルの攻撃者がセキュリティ制限を回避し、特権昇格を達成する可能性があります。

本脆弱性は、公開された時点で限定的な標的型攻撃で積極的に悪用されていたことが確認されています。

1.1 影響

この脆弱性が悪用された場合、攻撃者は標的システムにログオンし、特別に細工されたアプリケーションを実行することで、SYSTEM権限で任意のコードを実行し、システムを完全に制御できる可能性があります。これにより、プログラムのインストール、データの表示・変更・削除、または完全なユーザー権限を持つ新しいアカウントの作成が可能になります。

1.2 深刻度

  • CSH深刻度: Medium (中)
  • CVSS v4スコア: 8.5
    • CVSSv4ベクトル: CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
  • Microsoftは、本脆弱性を「特権の昇格」の最大セキュリティ影響として「重要」と評価しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

Microsoft WindowsおよびWindows Serverの複数のバージョンが影響を受けます。具体的には、以下のバージョンが挙げられます。

  • Windows Server 2003 Service Pack 2
  • Windows Server 2003 x64 Edition Service Pack 2
  • Windows Server 2003 with SP2 for Itanium-based Systems
  • Microsoft Windows Vista ～ Windows 8.1
  • その他、MicrosoftがサポートしていたすべてのWindowsリリース

2.2 影響を受ける設定

本脆弱性は、Adobe Type Manager Font Driver（ATMFD.DLL）モジュールに内在するため、特定のユーザー設定が脆弱性に直接影響を与えるものではありません。当該コンポーネントが存在する環境で影響を受けます。

3. 影響を受けた時の兆候

この脆弱性は、特別に細工されたアプリケーションを実行することで悪用されます。システム上で目立った予兆（クラッシュやエラーなど）は、悪用が成功する前に通常は現れません。しかし、悪用が成功した場合は、攻撃者によってSYSTEM権限での任意のコード実行が行われます。

4. 推奨対策

4.1 本対策

ベンダーから提供されるセキュリティ更新プログラムを適用することが推奨されます。 Microsoft Security Bulletin MS15-077（Knowledge Base Article 3077657）に記載されている更新プログラムを適用してください。このセキュリティ更新プログラムは、ATMFDがメモリ内のオブジェクトを処理する方法を修正することで脆弱性に対処します。

4.2 暫定回避策（緩和策）

Adobe Type Manager Font Driver (ATMFD.DLL) を一時的に無効化（ファイル名を変更）する回避策があります。

回避策の手順:

  • 32ビットシステムの場合:
    1. 管理者権限でコマンドプロンプトを開きます。
    2. cd "%windir%\system32" を実行します。
    3. takeown.exe /f atmfd.dll を実行します。
    4. icacls.exe atmfd.dll /save atmfd.dll.acl を実行します。
    5. icacls.exe atmfd.dll /grant Administrators:(F) を実行します。
    6. rename atmfd.dll x-atmfd.dll を実行します。
    7. システムを再起動します。
  • 64ビットシステムの場合:
    1. 上記32ビットシステムの手順を "%windir%\system32" に対して実行します。
    2. 続けて、cd "%windir%\syswow64" に移動し、同様の手順を実行します。
    3. システムを再起動します。

回避策の影響: 組み込みフォント技術に依存するアプリケーションは、正しく表示されなくなる可能性があります。

回避策の解除方法:

  • 32ビットシステムの場合:
    1. 管理者権限でコマンドプロンプトを開きます。
    2. cd "%windir%\system32" を実行します。
    3. rename x-atmfd.dll atmfd.dll を実行します。
    4. icacls.exe atmfd.dll /setowner "NT SERVICE\TrustedInstaller" を実行します。
    5. icacls.exe . /restore atmfd.dll.acl を実行します。
    6. システムを再起動します。
  • 64ビットシステムの場合:
    1. 上記32ビットシステムの手順を "%windir%\system32" に対して実行します。
    2. 続けて、cd "%windir%\syswow64" に移動し、同様の手順を実行します。
    3. システムを再起動します。

他に解説すべき観点

  • CWE-ID: CWE-119 (Improper Restriction of Operations within the Bounds of a Memory Buffer)
  • Exploitation vector: ローカルアクセス
  • コンポーネント: Adobe Type Manager Font Driver (ATMFD.DLL)

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る