Trusted Design

CVE-2017-0199 の詳細

CVEの情報

説明:
Microsoft Office 2007 SP3, Microsoft Office 2010 SP2, Microsoft Office 2013 SP1, Microsoft Office 2016, Microsoft Windows Vista SP2, Windows Server 2008 SP2, Windows 7 SP1, Windows 8.1 allow remote attackers to execute arbitrary code via a crafted document, aka "Microsoft Office/WordPad Remote Code Execution Vulnerability w/Windows API."

CVE更新日: 2017-04-12 14:59:01.157000

CVSSバージョン: 3.1

CVSSスコア: 7.8

KEVの情報

KEV更新日: 2021-11-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.994970000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2017-0199は、Microsoft OfficeおよびWordPadにおけるリモートコード実行（RCE）の脆弱性です。

1. 脆弱性の概要

CVE-2017-0199は、Microsoft OfficeおよびWordPadがObject Linking and Embedding (OLE) オブジェクトを不適切に処理することに起因するリモートコード実行（RCE）の脆弱性です。攻撃者は、細工されたドキュメントやRTF (Rich Text Format) ファイルをユーザーに開かせることで、任意のコードを実行できます。

攻撃は、攻撃者が悪意のあるHTML Application (HTA) ファイルを埋め込んだドキュメントを作成し、これをユーザーが開封することで発生します。このドキュメントが開かれると、リモートサーバーから悪意のあるHTAファイルを取得し、ユーザーの同意なく悪意のあるスクリプトが実行され、結果としてシステムが攻撃者に制御される可能性があります。

1.1 影響

この脆弱性が悪用されると、攻撃者はシステムを侵害し、機密データを窃取し、ネットワーク内を水平移動することが可能になります。 データ（機密性、完全性、可用性）が侵害されるリスクがあります。 実際に、スパイウェア、ランサムウェア、認証情報窃取マルウェア（例: FINSPY、LATENTBOT、Dridex、FormBook、DreamBot、Remcos RAT）の配布に利用された事例が報告されています。

1.2 深刻度

CVE-2017-0199は、CISAのKnown Exploited Vulnerabilities (KEV) カタログに掲載されており、実際の攻撃で悪用されたことが確認されています。 Fortinetは、この脆弱性を利用したフィッシングキャンペーンを「深刻度の高い」もの、または「クリティカル」と評価しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

以下のMicrosoft製品およびOSバージョンが影響を受けます。

  • Microsoft Office:
    • Microsoft Office 2007 SP3
    • Microsoft Office 2010 SP2
    • Microsoft Office 2013 SP1
    • Microsoft Office 2016
  • WordPad:
    • Windows 7
    • Windows 8
    • Windows 10
  • Windows OS:
    • Microsoft Windows Vista SP2
    • Windows Server 2008 SP2
    • Windows 7 SP1
    • Windows 8.1

2.2 影響を受ける設定

本脆弱性は、Microsoft OfficeアプリケーションがHTA (HTML Application) ファイルをOLEオブジェクトとして処理する方法を悪用します。 外部コンテンツパスの検証不足と埋め込みオブジェクトのサンドボックス化の不備に起因するため、OLEオブジェクトの実行を許可する設定が影響を受ける可能性があります。

3. 影響を受けた時の兆候

影響を受けた場合の兆候には、以下のようなものが挙げられます。

  • 不審な外部ドメインへのHTTP/HTTPSリクエスト。
  • HTAスクリプトの実行。
  • 通常とは異なるドキュメントの動作。
  • 埋め込みVBScriptまたはJScriptを含むHTAファイルの存在。
  • OLEv2オブジェクトリンクを含むRTFドキュメント。
  • HTAファイルやRTFファイルをホストするWebサーバーへの不審なネットワークトラフィック。
  • ユーザーの操作なしでのPowerShellコマンドの実行。
  • マルウェアペイロードのダウンロード、デコイ文書のロード、winword.exeプロセスの終了など。

4. 推奨対策

4.1 本対策

  • セキュリティパッチの適用: Microsoftが2017年4月11日にリリースしたセキュリティパッチを適用することが最も重要です。 影響を受けるすべてのシステムにこのパッチを適用してください。

4.2 暫定回避策（緩和策）

  • 埋め込みオブジェクト実行の無効化: 可能であれば、Officeアプリケーション内での埋め込みオブジェクトの実行を無効にしてください。
  • HTAハンドラの無効化: HTAハンドラを無効にすることで、この脆弱性を介した悪意のあるスクリプトの実行を防ぐことができます。
  • メールフィルタリングと従業員教育: 高度なメールフィルタリングを導入し、フィッシングメールを識別するための従業員教育を実施することが推奨されます。
  • 最新のセキュリティソフトウェアの使用: 最新の状態に保たれたセキュリティソフトウェアを使用し、悪意のあるドキュメントを検出・ブロックしてください。
  • ネットワークセグメンテーション: ネットワークセグメンテーションを実装することで、マルウェアの拡散を抑制し、エクスプロイトの影響を制限するのに役立ちます。
  • EDRツールの導入: エンドポイント検出と対応 (EDR) ツールを導入し、疑わしい動作を効果的に監視およびブロックしてください。
  • システムログの監視: システムログを監視し、HTAスクリプトや悪意のあるファイルダウンロードに関連する不審な動作がないか確認してください。

他に解説すべき観点

  • 攻撃手法: 攻撃者は通常、スピアフィッシングキャンペーンを利用し、悪意のあるOfficeドキュメントやRTFファイルを電子メールに添付して配布します。 ユーザーが悪意のあるファイルを開くと、外部の悪意のあるスクリプトがダウンロードされ、多くの場合、リモートアクセス型トロイの木馬などのマルウェアが展開されます。 悪意のあるExcelファイルが利用されるケースや、PowerPointのスライドショー機能を悪用した新しい攻撃手法も確認されています。
  • 悪用状況: 本脆弱性は、CISAのKnown Exploited Vulnerabilities (KEV) カタログに掲載されており、実際の攻撃で悪用されたことが確認されています。 2017年4月の公開以来、悪意のあるOfficeドキュメントで多用されてきました。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る