Trusted Design

CVE-2017-11826 の詳細

CVEの情報

説明:
Microsoft Office 2010, SharePoint Enterprise Server 2010, SharePoint Server 2010, Web Applications, Office Web Apps Server 2010 and 2013, Word Viewer, Word 2007, 2010, 2013 and 2016, Word Automation Services, and Office Online Server allow remote code execution when the software fails to properly handle objects in memory.

CVE更新日: 2017-10-13 13:29:02.067000

CVSSバージョン: 3.1

CVSSスコア: 7.8

KEVの情報

KEV更新日: 2022-03-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.813330000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2017-11826は、Microsoft Officeのメモリ破損の脆弱性であり、攻撃者が特別に細工したファイルを通じてリモートでコードを実行できるものです。

1. 脆弱性の概要

CVE-2017-11826は、Microsoft Officeのオブジェクトのメモリ処理における不備に起因する脆弱性です。特に、Officeの数式エディタ（EQNEDT32.EXE）において、</w:font>タグが適切に閉じられていない場合に型混同（type confusion）が発生し、OLEオブジェクトのデータ構造でフォントデータが解析されることで、攻撃者が関数ポインタを上書きしてコード実行を制御できます。

1.1 影響

この脆弱性が悪用されると、攻撃者はターゲットとなるシステム上で任意のコードを実行できるようになります。これにより、マルウェアのインストール、データの窃取、あるいはシステムの完全な制御が可能になる可能性があります。実際に、政治的なテーマのRTFドキュメントを使用した攻撃キャンペーンでこの脆弱性が悪用された事例が確認されています。

1.2 深刻度

  • CVSS v3.1基本評価値: 7.8 (重要)
    • 攻撃元区分: ローカル
    • 攻撃条件の複雑さ: 低
    • 攻撃に必要な特権レベル: 不要
    • 利用者の関与: 要
    • 機密性への影響: 高
    • 完全性への影響: 高
    • 可用性への影響: 高
  • CVSS v2.0基本評価値: 9.3 (危険)
    • 攻撃元区分: ネットワーク
    • 攻撃条件の複雑さ: 中
    • 攻撃前の認証要否: 不要
    • 機密性への影響: 全面的
    • 完全性への影響: 全面的
    • 可用性への影響: 全面的

この脆弱性は、CISA（Cybersecurity and Infrastructure Security Agency）のKnown Exploited Vulnerabilities (KEV) カタログにリストされており、実際の攻撃での悪用が確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は、主にMicrosoft Office製品に影響を与えるものであり、間接的にWindows OSが影響を受けます。影響を受けるOfficeバージョンは以下の通りです:

  • Microsoft Office 2007 Service Pack 3
  • Microsoft Office 2010 Service Pack 2
  • Microsoft Office 2013 Service Pack 1
  • Microsoft Office 2016
  • SharePoint Enterprise Server 2010
  • SharePoint Server 2010
  • Web Applications
  • Office Web Apps Server 2010 および 2013
  • Word Viewer
  • Word 2007, 2010, 2013 および 2016
  • Word Automation Services
  • Office Online Server

なお、数式エディタ（eqnedt32.exe）は2000年以降改訂されておらず、サポートが終了しているOffice 2003/XP/2000も対象となると見られています。

2.2 影響を受ける設定

この脆弱性は、Microsoft Officeの数式エディタコンポーネント（EQNEDT32.EXE）が関連しています。攻撃は、ユーザーが特別に細工されたRTF（Rich Text Format）ファイルまたはDocxコンテンツを埋め込んだRTFファイルを開くことを介して行われます。

3. 影響を受けた時の兆候

影響を受けた際の直接的な兆候は、マルウェアの種類や攻撃の内容によって異なりますが、一般的には以下のような状況が考えられます。

  • 身に覚えのないプログラムの実行
  • ファイルの破損やデータへの不正なアクセス
  • システムの動作が不安定になる、またはクラッシュする
  • 不審なネットワーク通信が発生する
  • バックグラウンドで悪意のあるスクリプトやプログラムが実行される

4. 推奨対策

4.1 本対策

Microsoftは、この脆弱性を修正するためのセキュリティ更新プログラムを2017年10月10日にリリースしています。影響を受けるMicrosoft Office製品を使用している場合は、速やかに最新のセキュリティ更新プログラムを適用することが最も推奨される対策です。

4.2 暫定回避策（緩和策）

  • 数式エディタの無効化: レジストリを編集することで、Microsoft Officeにおける数式エディタを無効化できます。これにより、この脆弱性を悪用した攻撃を防ぐことが可能です。 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\Common\COM Compatibility\{0002CE02-0000-0000-C000-000000000046}の"Compatibility Flags"をdword値で設定します。
  • ASLR（Address Space Layout Randomization）の有効化: 特にOffice 2010およびそれ以前のバージョンでは、ASLRが完全に適用されていない環境で攻撃が成功する可能性があります。Windowsが提供するASLRなどの保護機構を適用することで、攻撃を防ぐのに役立ちます。
  • Windows Defender Exploit Guard / EMET: 数式エディタ eqnedt32.exe はOfficeアプリの保護範囲外となるため、Windows Defender Exploit Guard Attack Surface Reduction (ASR) による保護は行われません。Windows 7では、システムレベルでEMETのASLRを「常にオン」に設定することで攻撃から保護されますが、Windows 10ではシステムレベルでのASLR設定ができないため、他の対策が必要です。
  • 未知のファイルを開く際の注意: 特にメール添付ファイルなど、信頼できない送信元からのRTFファイルやOfficeドキュメントを開かないように注意することが重要です。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る