Trusted Design

解説:

CVE-2015-2545について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2015-2545は、「Microsoft Office Malformed EPS File Vulnerability」（Microsoft Officeにおける細工されたEPS画像ファイルに関する脆弱性）として知られています。Microsoft Office製品が、特別に細工されたEncapsulated PostScript（EPS）画像を不適切に処理することに起因するリモートコード実行の脆弱性です。

この脆弱性はメモリ破損（memory corruption）に関連しており、攻撃者が細工されたEPS画像ファイルを含むOffice文書を作成し、ユーザーにそのファイルを開かせることで悪用される可能性があります。

1.1 影響

攻撃者が本脆弱性を悪用することに成功した場合、現在のユーザーのコンテキストで任意のコードを実行される可能性があります。これにより、攻撃者は影響を受けるシステムを完全に制御できるようになる可能性があります。過去には、中国の組織を標的とした攻撃で利用されたことが報告されています。

1.2 深刻度

• CVSS v2基本評価値: 9.3 (High)
• CVSS v3.1基本評価値: 7.8 (High)
• Microsoftの評価: Critical（緊急）

この脆弱性は、CISA（Cybersecurity and Infrastructure Security Agency）のKnown Exploited Vulnerabilities Catalogにも含まれており、実際に悪用が確認されていることを示しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

主にMicrosoft Office製品のバージョンに依存します。Officeが動作するWindows OSおよびmacOS環境が影響を受けます。

2.2 影響を受ける設定

以下のMicrosoft Office製品が影響を受けます。

• Microsoft Office 2007 Service Pack 3 (SP3)
• Microsoft Office 2010 Service Pack 2 (SP2)
• Microsoft Office 2013 Service Pack 1 (SP1)
• Microsoft Office 2013 RT Service Pack 1 (SP1)
• Microsoft Office 2016
• Microsoft Excel for Mac 2011
• Microsoft Excel 2016 for Mac
• Microsoft SharePoint Foundation 2013
• Microsoft SharePoint Server 2013

この脆弱性を悪用するには、ユーザーが特別に細工されたファイルを開く必要があります。Webベースの攻撃シナリオにおいて、自動的に悪用されることはありませんが、攻撃者が悪意のあるウェブサイトにOfficeファイルをホストし、ユーザーを誘導してアクセスさせることで悪用される可能性があります。

3. 影響を受けた時の兆候

直接的なシステム上の兆候は特定されていませんが、リモートコード実行の性質上、以下のような事象が発生する可能性があります。

• 身に覚えのないプログラムの実行
• システム設定の変更
• データの窃取、改ざん、または削除
• システムの応答性の低下やクラッシュ

特に、この脆弱性はEMET（Enhanced Mitigation Experience Toolkit）などの緩和策をバイパスするエクスプロイト手法が確認されているため、既存のセキュリティ対策が機能しない場合があります。

4. 推奨対策

4.1 本対策

Microsoftが提供するセキュリティ更新プログラム（パッチ）を適用することが、最も推奨される対策です。

• Microsoft Security Bulletin MS15-099に含まれるセキュリティ更新プログラムを適用してください。
• Microsoft Knowledge Base Article 3089664を参照し、該当する更新プログラムをインストールしてください。

4.2 暫定回避策（緩和策）

CISAは、回避策はあくまで暫定的な手段であり、公式パッチが利用可能になったら適用することを推奨しています。

• 不審なファイルの開封を避ける: 信頼できないソースから提供されたOfficeファイルや、メールに添付された不審なファイルは開かないようにしてください。
• ユーザー権限の最小化: ユーザーアカウントに必要最小限の権限のみを付与することで、脆弱性が悪用された場合の影響を軽減できる可能性があります。
• ユーザー教育: 従業員に対し、標的型攻撃メールや不審なウェブサイトに関するセキュリティ意識向上トレーニングを実施し、警戒を促すことが重要です。

他に解説すべき観点

• ゼロデイ攻撃での悪用: この脆弱性は、当初ゼロデイ脆弱性として実際に攻撃に利用されていました。これは、攻撃者がパッチが公開される前に脆弱性を発見し、悪用していたことを意味し、その深刻度と緊急性の高さを示しています。

参照サイト

• CVE-2015-2545 Detail - NVD
• CVE-2015-2545 - CVE Record
• CVE-2015-2545 | Tenable®
• Microsoft Security Bulletin MS15-099 - Critical
• Zero-day vulnerability in Microsoft Office - Morphisec
• How the EPS File Exploit Works to Bypass EMET (CVE-2015-2545) – A Technical Exploration - Morphisec
• [翻訳]野外のCVE-2015-2545 逃逸了EMET-二进制漏洞 - 看雪论坛
• セキュリティ対策の各種サービス｜サイバー攻撃・情報漏えい保険『サイバープロテククター』
• 脆弱性対応とは？CVE対応とパッチ管理の実務フロー | BBSec SQAT®.jp
• 「JBoss RichFaces」に対する脆弱性攻撃に注意喚起 - 米当局 - Security NEXT