Trusted Design

CVE-2017-8570 の詳細

CVEの情報

説明:
Microsoft Office allows a remote code execution vulnerability due to the way that it handles objects in memory, aka "Microsoft Office Remote Code Execution Vulnerability". This CVE ID is unique from CVE-2017-0243.

CVE更新日: 2017-07-11 21:29:01.267000

CVSSバージョン: 3.1

CVSSスコア: 7.8

KEVの情報

KEV更新日: 2022-02-25

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.898890000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2017-8570について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2017-8570は、Microsoft Officeがメモリ内のオブジェクトを処理する方法に起因するリモートコード実行の脆弱性です。攻撃者は、細工されたドキュメントを被害者に開かせることで、任意のコードをシステム上で実行する可能性があります。この脆弱性は、Composite Monikerと呼ばれる技術を利用して、RTFファイル内にWindows Script Component (WSC) ファイルやスクリプトレット (.sct) を実行させることで悪用されます。

1.1 影響

  • リモートからのコード実行を許す可能性があります。
  • 攻撃者が被害者の権限でシステム上で任意のコードを実行することができます。
  • Loki、Nanocore、FormBookなどのマルウェアのダウンローダーとして悪用された事例が確認されています。
  • システムセキュリティの侵害（追加マルウェアのダウンロードとインストール）を引き起こします。

1.2 深刻度

  • 深刻度は「高」と評価されており、CVSSスコアは7.8です。
  • CISA（米国サイバーセキュリティ・インフラセキュリティ庁）は、本脆弱性が悪用されていることを確認し、既知の悪用されている脆弱性（KEV: Known Exploited Vulnerabilities）カタログに2022年2月25日に追加しました。
  • EPSS（Exploit Prediction Scoring System）の悪用確率は89.9%と報告されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

本脆弱性は、特定のOSバージョンではなく、Microsoft Office製品に影響を与えます。検索結果からは、具体的な影響を受けるOfficeのバージョンはMicrosoftのセキュリティ更新ガイドを参照するよう指示されていますが、一般的にMicrosoft Office製品全般が対象となります。

2.2 影響を受ける設定

  • 細工されたOfficeドキュメント（例: RTFファイル、ppsxファイル）を開くこと。
  • メモリ内のオブジェクトの不適切な処理に起因します。

3. 影響を受けた時の兆候

  • マルウェア（Loki、Nanocore、FormBookなど）の存在。
  • Rich Text Format (RTF) ファイル内で複合Monikerが使用され、Windows Script Component (WSC) ファイルまたはスクリプトレット (.sct) が実行される動作。
  • 不審なネットワーク通信やC2（コマンド＆コントロール）サーバーへの接続（例: 海蓮花APTグループの攻撃では、特定のドメインへの通信が観測されています）。

4. 推奨対策

4.1 本対策

  • Microsoftが提供するセキュリティ更新プログラムの適用: CVE-2017-8570に対応するMicrosoftのセキュリティパッチを適用することが最も重要です。 最新のパッチレベルに保つことで、既知の脆弱性から保護されます。

4.2 暫定回避策（緩和策）

  • 不審なメールやドキュメントを開かない: ソーシャルエンジニアリング技術を悪用したフィッシングメールやマルウェアメールによって配布されることが多いため、送信元が不明なメールや添付ファイルは開かないように注意することが重要です。
  • アンチウイルスソフトウェアの利用とパターンファイルの最新化: 最新のパターンファイルを使用して、マルウェアの検出とブロックを行うことが推奨されます。
  • EDR/XDRなどのエンドポイントセキュリティ対策の強化: 攻撃の検知と対応能力を高めるために、高度なエンドポイント保護ソリューションの導入が有効です。

5. 他に解説すべき観点

  • 長期的な悪用: 本脆弱性は、公開から数年経っても、特にパッチが適用されていないシステムに対して、フィッシングキットなどで活発に悪用され続けています。
  • APTグループによる悪用: 海蓮花（OceanLotus）APTグループなど、高度な持続的脅威（APT）グループによっても悪用が確認されています。
  • CVE-2017-0199の迂回: CVE-2017-8570は、CVE-2017-0199のMicrosoftパッチを迂回するために使用されることがあります。
  • CISAの連邦政府機関への指示: CISAは、連邦政府機関に対し2022年8月25日までに本脆弱性の修正を義務付けました。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る