Trusted Design

解説:

CVE-2016-9079に関する脆弱性調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2016-9079は、Mozilla Firefox、Firefox ESR、およびThunderbirdのSVGアニメーションコンポーネントにおける解放済みメモリ使用（Use-After-Free）の脆弱性です。この脆弱性は、すでに解放されたメモリ領域をプログラムが参照しようとすることで発生し、アプリケーションのクラッシュや異常な動作を引き起こす可能性があります。具体的には、FirefoxのnsSMILTimeContainer::NotifyTimeChange()関数内でイテレータの検証に不備がありました。

この脆弱性を悪用するエクスプロイトが実際に観測されており、特にWindows環境のFirefoxおよびTor Browserユーザーを標的としていました。攻撃は、細工された悪意のあるウェブページにユーザーがアクセスすることで開始されます。

1.1 影響

本脆弱性が悪用された場合、攻撃者はFirefoxを実行しているユーザーの権限で任意のコードを実行（リモートコード実行: RCE）できる可能性があります。また、アプリケーションが予期せずクラッシュする可能性もあります。Tor Browserユーザーの場合、匿名性が侵害される可能性も指摘されています。

1.2 深刻度

• CISA KEV (Known Exploited Vulnerabilities) カタログへの登録: 本脆弱性はCISAのKnown Exploited Vulnerabilitiesカタログに記載されており、実際に攻撃で悪用されたことが確認されています。
• Mozillaの評価: Mozillaは本脆弱性の影響を「critical（致命的）」と評価しています。
• CVSSv3.0基本評価値: 6.3 (警告)
  • 機密性への影響: 低 (L)
  • 完全性への影響: 低 (L)
  • 可用性への影響: 低 (L)
• CVSSv2.0基本評価値: 7.5 (危険)
  • 機密性への影響: 部分的 (P)
  • 完全性への影響: 部分的 (P)
  • 可用性への影響: 部分的 (P)

2. 対象となる環境

2.1 影響を受けるOSバージョン

本脆弱性は、根本的にはFirefox、Firefox ESR、Thunderbird、Tor BrowserのSVGアニメーションコンポーネントに存在するため、これらの影響を受けるバージョンのアプリケーションが動作する様々なOSに影響があります。特に、実際の悪用はWindows環境下のFirefoxおよびTor Browserユーザーで確認されました。また、Ubuntu x64向けの概念実証（PoC）エクスプロイトも存在します。

2.2 影響を受けるソフトウェア/バージョン

以下のバージョンが本脆弱性の影響を受けます。 * Mozilla Firefox: 50.0.2 より前のバージョン * Mozilla Firefox ESR: 45.5.1 より前のバージョン * Mozilla Thunderbird: 45.5.1 より前のバージョン * Tor Browser: 6.0.7 より前のバージョン

2.3 影響を受ける設定

特定の「設定」を有効または無効にする必要はなく、影響を受けるバージョンのソフトウェアを使用しているだけで脆弱性の影響を受けます。攻撃は、細工されたウェブページにアクセスすることでトリガーされます。

3. 影響を受けた時の兆候

主な影響は、任意のコード実行またはアプリケーションのクラッシュです。 * リモートコード実行が成功した場合、攻撃者はステルスに活動する可能性があるため、ユーザーが直接的な「兆候」に気づかないこともあります。 * ただし、特定のウェブページを閲覧した際に、Firefox、Firefox ESR、またはThunderbirdが突然予期せずクラッシュするような動作は、脆弱性の影響を受けている兆候である可能性があります。 * Tor Browserユーザーの場合、匿名性の侵害が発生する可能性がありますが、これはシステム上で容易に確認できる兆候ではありません。

4. 推奨対策

4.1 本対策

開発元が提供するセキュリティアップデートを適用することが最も重要な対策です。 * Firefox: バージョン 50.0.2 以降にアップデートしてください。 * Firefox ESR: バージョン 45.5.1 以降にアップデートしてください。 * Thunderbird: バージョン 45.5.1 以降にアップデートしてください。 * Tor Browser: バージョン 6.0.7 以降にアップデートしてください。

4.2 暫定回避策（緩和策）

JVN iPediaでは、すぐにアップデートができない場合に影響を軽減するための暫定回避策の実施を推奨していますが、この特定の脆弱性に対する具体的な技術的回避策（例: 特定の機能の無効化など）は明確に示されていません。 一般的なセキュリティ対策として、信頼できないウェブサイトへのアクセスを避け、未知の送信元からのリンクを開く際には十分な注意を払うことが、クライアントサイドの脆弱性への露出を減らすのに役立ちます。CISAもベンダーの指示に従ってアップデートを適用することを必須アクションとしています。

他に解説すべき観点

• CWE (Common Weakness Enumeration): 本脆弱性は「CWE-416: Use-After-Free」として分類されています。これは、解放済みメモリ使用という一般的なメモリ破損の脆弱性タイプの一つです。
• 活発な悪用 (In-the-Wild Exploitation): この脆弱性は、米国サイバーセキュリティ・インフラセキュリティ庁 (CISA) の「Known Exploited Vulnerabilities Catalog」に登録されており、実際に攻撃で悪用されたことが確認されている非常に危険な脆弱性であることを示しています。

参照したサイト

• CVE-2016-9079: Mozilla Firefox, Firefox ESR, and Thunderbird Use-After-Free Vulnerability
• CVE-2016-9079 - Red Hat Customer Portal
• CVE-2016-9079 Common Vulnerabilities and Exposures - SUSE
• Firefox SVG Animation Remote Code Execution CVE-2016-9079 - Qualys ThreatPROTECT
• Firefox SVG Animation Remote Code Execution - Mozilla
• JVNDB-2016-006096 - JVN iPedia - 脆弱性対策情報データベース
• CVE-2016-9079 - Kitploit
• CVE-2016-9079 — Patch first | CVE Explorer - Peter Bassill