Trusted Design

解説:

CVE-2017-0261について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2017-0261は、Microsoft Officeにおけるリモートコード実行の脆弱性です。この脆弱性は、ソフトウェアがメモリ内のオブジェクトを適切に処理できないことに起因します。具体的には、Encapsulated PostScript（EPS）スクリプトのsaveおよびrestore命令におけるUse-After-Free（UAF）の脆弱性として特定されています。

1.1 影響

この脆弱性が悪用された場合、攻撃者は影響を受けるシステム上で任意のコードを実行する可能性があります。これは、標的型攻撃（APT攻撃）グループによって実際に悪用されたことが報告されており、例えばTurlaというAPTグループがこの脆弱性を利用していました。

1.2 深刻度

NVD (National Vulnerability Database) では、CVSS v3.1の基本スコアは7.8（High）と評価されています。リモートからのコード実行が可能であること、および実際の攻撃での悪用が確認されていることから、その影響は重大です。

2. 対象となる環境

2.1 影響を受けるOSバージョン

以下のMicrosoft Office製品が影響を受けます。

• Microsoft Office 2010 Service Pack 2 (SP2)
• Microsoft Office 2013 Service Pack 1 (SP1)
• Microsoft Office 2016

これらのOffice製品が動作するWindows OSが間接的に影響を受けることになります。

2.2 影響を受ける設定

この脆弱性は、Microsoft OfficeにおけるEPS（Encapsulated PostScript）コンポーネントの処理に関連しています。マイクロソフトは、この脆弱性を含む複数のEPS関連の脆弱性を受けて、OfficeでのEPSコンポーネントを最終的に無効化しました。したがって、EPSファイルの処理が可能な状態であることが影響を受ける設定と言えます。

3. 影響を受けた時の兆候

• Microsoft Word（Winword.exe）が通常ではないサブプロセスFLTLDR.exeを開始する挙動が見られる場合があります。
• 攻撃が成功すると、システム上で不正なファイル（例: MSBuild.exeなど）が作成されたり、不審なネットワーク通信（遠隔操作サーバーへの接続、AES暗号化通信など）が行われたりする可能性があります。

4. 推奨対策

4.1 本対策

• マイクロソフトから提供されているセキュリティ更新プログラム（パッチ）を適用してください。これにより、脆弱性が修正されます。
• マイクロソフトは、この脆弱性を含むEPS関連の複数の脆弱性に対応するため、OfficeにおけるEPSコンポーネントを無効化しています。

4.2 暫定回避策（緩和策）

• 出所の不明な文書ファイルは開かないよう、細心の注意を払ってください。
• 不審な文書を開く前に、ウイルス対策ソフトウェアでスキャンを実施してください。
• 可能であれば、見慣れない文書は仮想環境で開くことを検討してください。

---

参照したサイト

• NVD-CVE-2017-0261
• 米CISA、悪用されている既知の脆弱性95個をデータベースに登録 - マイナビニュース
• Exploit for CVE-2017-0261 - Detection.FYI
• CVE-2017-0261 - Security Update Guide - Microsoft Security Response Center
• 中间文档和原始漏洞利用文件。 - kcufid/eps-cve-2017-0261 - Kitploit
• 近年来APT组织使用的10大（类）安全漏洞 - 奇安信威胁情報中心
• [原创]样本分析记录（一个CVE-2017-0261样本分析（EPS漏洞）） - 看雪论坛
• 脆弱性データストリームディクショナリ - Jamf Security Cloud ポータル設定ガイド