Trusted Design

解説:

CVE-2015-2426に関する調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2015-2426は、Windows Adobe Type Manager Libraryが特別に細工されたOpenTypeフォントを不適切に処理することに起因する、Microsoft Windowsのリモートコード実行の脆弱性です。攻撃者は、この脆弱性を悪用することで、影響を受けるシステムを完全に制御できる可能性があります。 この脆弱性はバッファアンダーフロー（またはオーバーフロー）によって引き起こされます。

1.1 影響

攻撃者がこの脆弱性を悪用した場合、影響を受けるシステムを完全に制御できる可能性があります。具体的には、プログラムのインストール、データの閲覧・変更・削除、完全なユーザー権限を持つ新しいアカウントの作成などが実行される可能性があります。 攻撃は、ユーザーが特別に細工されたドキュメントを開いたり、悪意のあるOpenTypeフォントが埋め込まれた信頼されていないWebページにアクセスしたりすることで発生する可能性があります。

1.2 深刻度

Microsoftは、この脆弱性を「重大 (Critical)」と評価しており、最も深刻な脆弱性に分類されています。 CVSSスコアは8.8（High）から9.3（Critical）と評価されています。 この脆弱性は、当時積極的に悪用されていることが確認されていました (zero-day)。

2. 対象となる環境

2.1 影響を受けるOSバージョン

以下のMicrosoft Windowsのバージョンが影響を受けます。

• Windows Vista Service Pack 2
• Windows Server 2008 Service Pack 2 および R2 Service Pack 1
• Windows 7 Service Pack 1
• Windows 8
• Windows 8.1
• Windows Server 2012 (Gold および R2)
• Windows RT および RT 8.1
• Windows 10
• 任意のServer Coreインストール

2.2 影響を受ける設定

この脆弱性は、Windows Adobe Type Manager LibraryがOpenTypeフォントを処理する方法に存在するため、特定の「設定」が脆弱性を引き起こすわけではありません。

3. 影響を受けた時の兆候

この脆弱性はリモートコード実行を引き起こすため、直接的な兆候はほとんどありません。多くの場合、セキュリティソフトウェアからのアラートが唯一の兆候である可能性があります。 攻撃が成功すると、システム上で実行された悪意のあるコードの兆候（パフォーマンスの低下、予期しないプログラムの実行など）が現れる可能性があります。

4. 推奨対策

4.1 本対策

Microsoftは、この脆弱性を修正するためのセキュリティ更新プログラムMS15-078 (KB3079904) をリリースしています。 影響を受けるすべてのシステムに、この更新プログラムを速やかに適用することが強く推奨されます。 この更新プログラムは、Windows Adobe Type Manager LibraryがOpenTypeフォントを処理する方法を修正します。

4.2 暫定回避策（緩和策）

パッチをすぐに適用できない場合の暫定的な回避策として、以下の方法が挙げられます。

• 「WebClient」サービスを無効にする: これにより、Web Distributed Authoring and Versioning (WebDAV) を介した攻撃を防ぐことができます。
• Windows エクスプローラーのプレビューウィンドウと詳細ウィンドウを無効にする: これにより、悪意のあるOpenTypeフォントがエクスプローラーで自動的に表示されることを防ぐことができます。ただし、ユーザーが悪意のあるファイルを開くことは防げません。
  • 「エクスプローラー」を開き、「表示」タブをクリックします。
  • 「詳細ウィンドウ」と「プレビュー ウィンドウ」のメニューオプションの両方をオフにします。
  • 「オプション」をクリックし、「フォルダーと検索のオプションの変更」をクリックします。
  • 「表示」タブをクリックし、「詳細設定」で「常にアイコンを表示し、縮小版は表示しない」チェックボックスをオンにします。
  • 「エクスプローラー」のすべてのインスタンスを閉じて、変更を有効にします。
• レジストリ設定によるATMFDの無効化: レジストリキー HKLM\Software\Microsoft\Windows NT\CurrentVersion\Windows\DisableATMFD の値を DWORD = 1 に設定することで、脆弱性のあるコンポーネントを無効にできます。レジストリを閉じてシステムを再起動する必要があります。

その他に解説すべき観点

• 発見経緯: この脆弱性は、スパイウェアベンダーHacking Teamのデータ漏洩後に明らかになったいくつかの脆弱性の一つです。
• 修正内容: 更新プログラムは、Windows Adobe Type Manager LibraryがOpenTypeフォントを処理およびハンドルする方法を変更することで脆弱性に対処します。

---

参照したサイト

• What is the CVE-2015-2426 Font Driver Vulnerability? - Atlantic.Net
• Buffer overflow in Microsoft Windows and Windows Server - CVE-2015-2426
• NVD-CVE-2015-2426 - NIST
• CVE-2015-2426 | High Vulnerability in Microsoft Windows Adobe Type Manager Library
• Critical out-of-band patch issued for Windows zero-day - iTnews
• Exploit:Win32/CVE-2015-2426 threat description - Microsoft Security Intelligence
• Microsoft セキュリティ情報 MS15-078 - 重大
• Microsoft Font Driver OOB RCE Vulnerability (July 20, 2015) - SonicWall
• Microsoft Security Bulletin MS15-078 - Critical
• JVNDB-2015-003616 - JVN iPedia - 脆弱性対策情報データベース
• Windowsにリモートコードが実行されるゼロデイ脆弱性、パッチ提供まで回避策の実施を - 窓の杜