Trusted Design

CVE-2016-7201 の詳細

CVEの情報

説明:
The Chakra JavaScript scripting engine in Microsoft Edge allows remote attackers to execute arbitrary code or cause a denial of service (memory corruption) via a crafted web site, aka "Scripting Engine Memory Corruption Vulnerability," a different vulnerability than CVE-2016-7200, CVE-2016-7202, CVE-2016-7203, CVE-2016-7208, CVE-2016-7240, CVE-2016-7242, and CVE-2016-7243.

CVE更新日: 2016-11-10 06:59:16.810000

CVSSバージョン: 3.1

CVSSスコア: 8.8

KEVの情報

KEV更新日: 2022-03-28

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.800040000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2016-7201について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2016-7201は、Microsoft EdgeのChakra JavaScriptエンジンにおけるメモリ破損の脆弱性です。細工されたWebサイトを介して、リモートの攻撃者が任意のコードを実行したり、サービス拒否（メモリ破損）を引き起こしたりする可能性があります。この脆弱性は「スクリプトエンジンメモリ破損の脆弱性」としても知られています。

この問題は、Chakra JavaScriptエンジンがメモリ内のオブジェクトを適切に処理しないために発生します。 また、CWE-843 (Access of Resource Using Incompatible Type) に関連付けられています。

1.1 影響

  • 任意のコード実行 (RCE): 攻撃者が細工されたWebサイトをユーザーに閲覧させることで、標的のシステム上で任意のコードを実行する可能性があります。
  • サービス拒否 (DoS): メモリ破損により、アプリケーションのクラッシュやシステムの不安定化を引き起こす可能性があります。
  • 機密性、完全性、可用性への影響は「高」と評価されています。
  • 結果として、データ漏洩、サービスの中断、または影響を受けるシステムのさらなる悪用につながる可能性があります。

1.2 深刻度

  • CVSS v3.1 スコア: 8.8 (High)
    • 攻撃元区分 (AV): ネットワーク (N)
    • 攻撃条件の複雑さ (AC): 低 (L)
    • 必要な特権レベル (PR): 不要 (N)
    • ユーザー関与 (UI): 必要 (R)
    • スコープ (S): 変更なし (U)
    • 機密性への影響 (C): 高 (H)
    • 完全性への影響 (I): 高 (H)
    • 可用性への影響 (A): 高 (H)
  • CISA Known Exploited Vulnerabilities (KEV) カタログに登録されており、実世界での悪用が確認されています。
  • EPSS (Exploit Prediction Scoring System) スコアは90%で、今後30日以内に悪用される可能性が非常に高いことを示しています (99.6% percentile)。

2. 対象となる環境

2.1 影響を受けるOSバージョン

  • Microsoft Edgeの、ベンダーによるパッチ適用前のすべてのバージョンが影響を受けます。
  • 具体的には、Windows 10上のMicrosoft Edgeが影響を受けます。
  • 関連するセキュリティアップデート (MS16-129) では、以下のWindows 10のバージョンに対する累積的な更新プログラムが提供されました。
    • Microsoft Windows 10, version 1507
    • Microsoft Windows 10, version 1511
    • Microsoft Windows 10, version 1607
    • Microsoft Windows Server 2016, version 1607

2.2 影響を受ける設定

  • 特に特定の「設定」が影響を受けるという具体的な記述は見当たりません。この脆弱性はMicrosoft EdgeのChakra JavaScriptエンジンの内部的な処理に起因しており、ユーザーが細工されたWebサイトを閲覧することで攻撃が成立します。

3. 影響を受けた時の兆候

この脆弱性が悪用された場合、以下のような兆候が現れる可能性がありますが、直接的な具体的な兆候の記述は見当たりませんでした。

  • アプリケーションの予期せぬ終了またはクラッシュ (類似のメモリ破損脆弱性の場合)
  • システムの不安定化
  • 異常なプロセス動作やリソース使用量の増加

4. 推奨対策

4.1 本対策

  • Microsoft Edgeのアップデート: Microsoft Edgeを最新のリリースに更新し、関連するセキュリティパッチを適用することが必須です。
  • Microsoftセキュリティ更新プログラムの適用: Microsoft Security Update Guide (MSRC) に記載されているベンダーの指示に従って、MS16-129を含む関連するセキュリティ更新プログラムを適用してください。

4.2 暫定回避策（緩和策）

  • 疑わしいWebサイトへのアクセス回避: 悪意のあるWebサイトを訪問しないようにユーザーに注意喚起し、不審なリンクをクリックしないように指導することが重要です。
  • レガシーEdgeの廃止とChromiumベースEdgeの導入: ChromiumベースのMicrosoft Edgeは、脆弱性の原因となったChakra JavaScriptエンジンを完全に置き換えています。レガシーMicrosoft Edgeを環境から排除し、最新の自動更新されるブラウザをポリシーによって適用することを推奨します。
  • 攻撃対象領域の制限: 影響を受けるコンポーネントの外部への露出を制限する。

その他に解説すべき観点

  • 関連する脆弱性: CVE-2016-7201は、CVE-2016-7200、CVE-2016-7202、CVE-2016-7203、CVE-2016-7208、CVE-2016-7240、CVE-2016-7242、CVE-2016-7243とは異なる脆弱性です。
  • 悪用状況: この脆弱性は2022年3月28日にCISAのKnown Exploited Vulnerabilities (KEV) カタログに追加されており、実際の攻撃で悪用されたことが確認されています。米国連邦政府機関には2022年4月18日までに修正を完了するよう義務付けられていましたが、この期限は既に過ぎています。
  • エクスプロイトの連携: CVE-2016-7200とCVE-2016-7201を組み合わせて利用することで、指定オブジェクトのアドレスをリークし、偽造したDataViewオブジェクトを使って任意のアドレスの読み書きを実現し、ROP (Return-Oriented Programming) を用いてCFG (Control Flow Guard) を回避してシェルコードを実行する手法が分析されています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る