Trusted Design

CVE-2019-11707 の詳細

CVEの情報

説明:
A type confusion vulnerability can occur when manipulating JavaScript objects due to issues in Array.pop. This can allow for an exploitable crash. We are aware of targeted attacks in the wild abusing this flaw. This vulnerability affects Firefox ESR < 60.7.1, Firefox < 67.0.3, and Thunderbird < 60.7.2.

CVE更新日: 2019-07-23 14:15:15.233000

CVSSバージョン: 3.1

CVSSスコア: 8.8

KEVの情報

KEV更新日: 2022-05-23

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.376960000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2019-11707に関する調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2019-11707は、Mozilla FirefoxおよびThunderbirdに存在する型混同（Type Confusion）の脆弱性です。JavaScriptオブジェクトの操作、特にArray.pop関数に問題がある場合に発生します。これにより、悪用可能なクラッシュを引き起こす可能性があります。Mozillaはこの脆弱性を悪用した標的型攻撃が既に確認されていることを公表しています。

1.1 影響

この脆弱性が悪用された場合、遠隔の攻撃者によって任意のコードが実行される可能性があります。成功すれば、影響を受けるシステムを完全に制御される危険性があります。また、場合によっては、サンドボックスエスケープの脆弱性（CVE-2019-11708）と組み合わせて、より大きな影響を与える攻撃（仮想通貨取引所を狙った攻撃など）に利用された事例も報告されています。

1.2 深刻度

  • Mozillaによる評価: Critical（最高危険度）。
  • CVSS v3.1基本スコア: 8.8 (High)。
  • CVSS v3.0基本スコア: 8.8 (High)。
  • CISA KEVカタログ: 既知の悪用された脆弱性 (Known Exploited Vulnerability) として登録されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は、以下のMozilla製品のバージョンに影響します。

  • Firefox: 67.0.3より前のバージョン
  • Firefox ESR: 60.7.1より前のバージョン
  • Thunderbird: 60.7.2より前のバージョン

これらの製品が動作するWindows、macOS、Linuxなどのオペレーティングシステムが影響を受けます。Oracle LinuxやUbuntu上での影響も具体的に言及されています。

2.2 影響を受ける設定

特定の脆弱な設定は、上記影響を受けるソフトウェアのバージョン以外には言及されていません。これはJavaScriptエンジンの欠陥によるものです。 ただし、Thunderbirdにおいては、メール閲覧時には通常スクリプトが無効化されているため、電子メールを介した直接的な悪用リスクは低いとされていますが、ブラウザのようなコンテキストでは依然としてリスクが存在します。

3. 影響を受けた時の兆候

  • エクスプロイト可能なクラッシュ。
  • 遠隔からの任意のコード実行。これは悪用が成功した場合の結果であり、ユーザーが直接認識できる兆候としては現れない可能性があります。
  • 標的型攻撃が確認されていることから、異常なシステム動作や意図しないプロセスの実行などが発生する可能性があります。

4. 推奨対策

4.1 本対策

影響を受けるバージョンを使用している場合は、速やかに以下の修正済みバージョンまたはそれ以降のバージョンにアップデートすることが強く推奨されます。

  • Firefox: 67.0.3以降のバージョン
  • Firefox ESR: 60.7.1以降のバージョン
  • Thunderbird: 60.7.2以降のバージョン

アップデートは、Firefoxの場合、メニューボタンから「ヘルプ」→「Firefoxについて」を選択することで実施できます。可能であれば、Firefoxの自動更新を有効にすることも推奨されます。

4.2 暫定回避策（緩和策）

この脆弱性に対する特定の暫定回避策は、セキュリティパッチの適用以外には報告されていません。 一般的な対策として、不審なリンクをクリックしないなど、Webブラウジングにおける基本的なセキュリティ習慣を維持することが重要です。

5. 他に解説すべき観点

  • 発見者: この脆弱性は、Google Project ZeroのSamuel Groß氏とCoinbase Securityによって独立して報告されました。
  • 悪用状況: 報告された時点で既にこの脆弱性を悪用した標的型攻撃が確認されており、特に仮想通貨取引所の従業員を狙った攻撃に利用されたことが指摘されています。
  • 脆弱性の詳細: この脆弱性は、JITコンパイラ（IonMonkey）における投機的実行ガードの欠陥に起因しています。具体的には、JavaScriptのArray.prototype.popの呼び出しが、配列のプロトタイプから配列要素をロードしないことをJITが保証できない場合に発生します。これにより、異なる型の要素が配列とそのプロトタイプに格納されている場合、JITが誤った型を推測し、型混同を引き起こす可能性があります。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る