Trusted Design

解説:

CVE-2016-3298について、以下の観点から解説します。

1. 脆弱性の概要

CVE-2016-3298は、Microsoft Internet Messaging APIにおける情報漏えいの脆弱性です。この脆弱性により、攻撃者はディスク上に特定のファイルが存在するかどうかをテストすることができます。 この脆弱性は、Internet Messaging APIがメモリ内のオブジェクトを不適切に処理することによって発生し、巧妙に作成されたWebページを介して悪用される可能性があります。 脆弱性はCWE-200 (機微な情報の露出) に分類されます。

1.1 影響

攻撃者がこの脆弱性の悪用に成功すると、ターゲットシステム上に特定のファイルが存在するかどうかを判断でき、その後の攻撃のための偵察（情報収集）が可能になります。 主な影響は機密性の開示であり、機密情報を取得される可能性があります。 直接的なコード実行はできませんが、エクスプロイトキットキャンペーンにおける偵察ツールとして、多段階攻撃の重要な要素となります。

1.2 深刻度

• CVSS 3.1 Base Score: 6.5 (Medium)
• CVSS 3.1 Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N)
• EPSS (Exploit Prediction Scoring System) パーセンタイルは96.4%と非常に高く、広範囲な悪用活動が確認されています。
• CISAのKnown Exploited Vulnerabilities (KEV) カタログに2022年5月24日に追加されており、実環境での悪用が確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

• Microsoft Windows Vista Service Pack 2 (SP2)
• Microsoft Windows Server 2008 Service Pack 2 (SP2)
• Microsoft Windows Server 2008 R2 Service Pack 1 (SP1)
• Microsoft Windows 7 Service Pack 1 (SP1)

2.2 影響を受ける設定

• Microsoft Internet Explorer 9から11が影響を受けます。
• Internet Explorerからアクセス可能なMicrosoft Internet Messaging APIのコンポーネントが影響を受けます。
• ユーザーが巧妙に細工されたWebページを閲覧する状況で悪用されます。

3. 影響を受けた時の兆候

この脆弱性は「ファイルの存在をテストする」ために利用されるため、直接的な兆候は明確に記載されていません。しかし、攻撃者が特定のファイルを検索している痕跡（例: 異常なWebアクセスログや、特定のファイルパスへのアクセス試行の失敗ログなど）が残る可能性があります。 CVE-2016-3298は、AdGholasやGooNkyといったマルバタイジングキャンペーン、およびNeutrino Exploit Kitで使用され、セキュリティ研究環境に関連するソフトウェアや設定に基づいて、研究者やベンダーではなく消費者などの「質の高いユーザー」をターゲットとしてフィルタリングするために利用されました。 このことから、標的型攻撃の一部として利用されることが示唆されます。

4. 推奨対策

4.1 本対策

• ベンダー（Microsoft）の指示に従ってセキュリティ更新プログラムを適用してください。 NVDの参考文献では、MS16-118およびMS16-126が関連するセキュリティ情報として挙げられています。
• Microsoft Internet Explorerから、よりモダンでサポートされているブラウザへの移行が推奨されています。

4.2 暫定回避策（緩和策）

特定の緩和策は明示されていませんが、この脆弱性の悪用にはユーザーが巧妙に細工されたWebページを閲覧することが必要であるため、信頼できないWebサイトへのアクセスを避け、Webブラウジングにおいて警戒を怠らないことが一般的な対策となります。

他に解説すべき観点

• この脆弱性は、Proofpointの研究者によって2016年4月に「GooNky」感染チェーンの一部として初めて検出・報告されました。しかし、AdGholasグループによってそれ以前から既に使用されていた可能性が高いとされています。
• Angler Exploit Kitが市場から姿を消した後、「GooNky」の攻撃者はマルバタイジングキャンペーンをNeutrino Exploit Kitに移行し、この脆弱性を悪用するコードがNeutrinoに統合されました。

---

参照したサイト:

• CVE-2016-3298 - Microsoft Internet Explorer Messaging API Information Disclosure Vulnerability | turingpoint
• CVE-2016-3298: Microsoft Internet Explorer Messaging API Information Disclosure Vulnerability - Safeguard
• CVE-2016-3298: Undefined Security Weakness | Rapid7 Vulnerability Database
• NVD-CVE-2016-3298 - National Vulnerability Database
• CVE-2016-3298 - CVE Record
• CVE-2016-3298 - Microsoft Internet Explorer Messaging API Information Disclosure Vulnerability | turingsecure
• Microsoft patches CVE-2016-3298 - information disclosure zero-day used in malvertising campaigns and Neutrino Exploit Kit - Proofpoint
• 似通ったもの：マルバタイジングキャンペーンおよびNeutrinoエクスプロイトキットで使用された、二度めの情報開示ゼロデイCVE-2016-3298に、Microsoftがパッチを適用 | Proofpoint JP
• CVE-2016-3298 BornのITとWindowsブログ - BornCity
• CVE-2016-3298 | Tenable®