Trusted Design

解説:

CVE-2018-0824について、以下の観点から解説します。

1. 脆弱性の概要

CVE-2018-0824は、「Microsoft COM for Windows」に存在するリモートコード実行の脆弱性です。この脆弱性は、システムがシリアル化されたオブジェクトを適切に処理しないことに起因します。攻撃者は、特別に細工されたファイルやスクリプトを利用してこの脆弱性を悪用する可能性があります。

1.1 影響

この脆弱性が悪用された場合、攻撃者は影響を受けるシステム上で任意のコードを実行できる可能性があります。これにより、認証されていないアクセスやデータの持ち出しにつながるおそれがあります。場合によっては、権限昇格に悪用される可能性もあります。

攻撃は主にネットワークベースで行われる可能性があり、攻撃の実行には低い権限しか必要とされません。攻撃者は、ユーザーを誘導して悪意のあるファイルを開かせたり、特別に細工されたウェブサイトにアクセスさせたりする必要がある場合があります。

1.2 深刻度

CVSSv3スコアは8.8であり、「緊急」（High）と評価されています。 この脆弱性は、米国のCISA（サイバーセキュリティ・インフラストラクチャ・セキュリティ庁）が公表している「既知の悪用された脆弱性カタログ（Known Exploited Vulnerabilities Catalog）」にも含まれており、実際に広範な攻撃で悪用されていることが確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

以下のMicrosoft Windowsのバージョンが影響を受けます。

• Windows 7
• Windows 8.1
• Windows RT 8.1
• Windows 10 (32-bit Systems, x64-based Systems, Version 1607, 1703, 1709, 1803)
• Windows Server 2008
• Windows Server 2008 R2
• Windows Server 2012
• Windows Server 2012 R2
• Windows Server 2016
• Windows Server, version 1709 (Server Core Installation)
• Windows Server, version 1803 (Server Core Installation)

2.2 影響を受ける設定

「Microsoft COM for Windows」がシリアル化されたオブジェクトを不適切に処理する設定が影響を受けます。この脆弱性はWindowsのCOMコンポーネントの内部的な動作に起因するため、特定のユーザー設定で脆弱性が有効になったり無効になったりするわけではなく、影響を受けるOSバージョンであればデフォルトで潜在的に影響を受ける可能性が高いと考えられます。

3. 影響を受けた時の兆候

この脆弱性が悪用された際の直接的な兆候について具体的な情報は確認されていません。しかし、リモートコード実行の脆弱性が悪用された場合、一般的に以下のような兆候が考えられます。

• システムのパフォーマンス低下
• 不審なプロセスやネットワーク通信の発生
• 予期しないシステムのクラッシュや再起動
• 不正なファイルの作成や変更
• ユーザーアカウントの乗っ取りや権限昇格の痕跡

4. 推奨対策

4.1 本対策

Microsoftから提供されている最新のセキュリティパッチを適用することが最も重要な対策です。Microsoftは2018年5月9日にこの脆弱性に対する修正プログラムをリリースしています。 具体的なパッチの適用については、Microsoftのセキュリティアドバイザリ（Security Update Guide - Microsoft Security Response Center）を参照してください。

4.2 暫定回避策（緩和策）

この脆弱性に特化した具体的な暫定回避策については、情報が見つかりませんでした。基本的には、提供されているセキュリティパッチの適用が推奨されます。 一般的な対策として、ユーザーは以下の点に注意することでリスクを軽減できます。

• 不審な送信元からのファイルは開かない。
• 信頼できないウェブサイトへのリンクや、電子メール、インスタントメッセンジャーなどに含まれる不審なリンクはクリックしない。
• セキュリティソフトウェア（ウイルス対策ソフトなど）を最新の状態に保ち、定期的にスキャンを実行する。

他に解説すべき観点

• 公開日: この脆弱性は2018年5月9日に公開されました。
• 最近の悪用事例: 2024年8月には、台湾の政府系研究機関に対するサイバー攻撃でこの脆弱性が悪用されたことが報告されており、攻撃グループ「APT41」が関与した可能性があるとされています。

参照したサイト

• CVE-2018-0824 | High Vulnerability in Microsoft Windows - Appsecure Security
• NVD-CVE-2018-0824 - NIST
• Microsoft作業系統存在高風險安全漏洞(CVE-2018-0824) - NCHC國家高速網路與計算中心
• Microsoft COM for Windows - Privilege Escalation - Exploit-DB
• CVE-2018-0824: Deserialization of Untrusted Data | Rapid7 Vulnerability Database
• 「Microsoft COM」既知脆弱性に悪用報告 - 台湾狙う攻撃に使用 - Security NEXT
• Marshalling to SYSTEM - An analysis of CVE-2018-0824 - CODE WHITE
• CVE-2018-0824 - Security Update Guide - Microsoft Security Response Center
• 8月は脆弱性19件を「悪用が確認された脆弱性カタログ」に追加 - 米当局 - Security NEXT
• CVE-2018-0824: Windows — untrusted serialized objects in the component model - SCRTY
• CVE-2018-0824: A remote code execution vulnerability exists in "Microsoft · Exploit & PoC
• Windows COM Vulnerability Exploited by Chinese Hackers - Gridinsoft Blogs
• 標的型メール訓練サービス｜サイバープロテクター｜三井住友海上火災保険
• セキュリティ対策の各種サービス｜サイバー攻撃・情報漏えい保険『サイバープロテククター』