Trusted Design

CVE-2019-11708 の詳細

CVEの情報

説明:
Insufficient vetting of parameters passed with the Prompt:Open IPC message between child and parent processes can result in the non-sandboxed parent process opening web content chosen by a compromised child process. When combined with additional vulnerabilities this could result in executing arbitrary code on the user's computer. This vulnerability affects Firefox ESR < 60.7.2, Firefox < 67.0.4, and Thunderbird < 60.7.2.

CVE更新日: 2019-07-23 14:15:15.327000

CVSSバージョン: 3.1

CVSSスコア: 10.0

KEVの情報

KEV更新日: 2022-05-23

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.558740000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2019-11708は、Mozilla FirefoxおよびThunderbirdに存在するサンドボックスエスケープの脆弱性です。この脆弱性は、子プロセスと親プロセスの間のIPCメッセージ（Prompt:Open）のパラメータ検証が不十分であることに起因します。

1. 脆弱性の概要

子プロセスによって制御されたWebコンテンツが、サンドボックスで保護されていない親プロセスによって開かれる可能性があり、他の脆弱性と組み合わせることで、ユーザーのコンピューター上で任意のコード実行を引き起こす可能性があります。この脆弱性は実世界で悪用されたことが確認されています。

1.1 影響

  • サンドボックスエスケープ: 侵害された子プロセスがサンドボックスを回避し、非サンドボックスの親プロセスでWebコンテンツを開くことができます。
  • 任意のコード実行 (RCE): 他の脆弱性（例: CVE-2019-11707やCVE-2019-9810）と組み合わせることで、攻撃者がユーザーのコンピューター上で任意のコードを実行できる可能性があります。
  • 仮想通貨取引所Coinbaseの従業員を標的としたスピアフィッシング攻撃で悪用された事例が報告されています。

1.2 深刻度

  • CVSS v3 基本スコア: 10.0 (Critical)
  • Mozilla の影響評価: High (高)
  • CISA KEV カタログ: CISA (米国サイバーセキュリティ・インフラセキュリティ庁) の「既知の悪用された脆弱性 (Known Exploited Vulnerabilities)」カタログに掲載されており、実際に悪用が確認されているため、CVSSスコア単独よりも強い信号となります。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は特定のOSバージョンではなく、以下のMozilla製品のバージョンに影響します。これらの製品が動作するOS（Windows, macOS, Linuxなど）であれば影響を受けます。

  • Firefox バージョン 67.0.4 より前のバージョン
  • Firefox ESR バージョン 60.7.2 より前のバージョン
  • Thunderbird バージョン 60.7.2 より前のバージョン
  • SUSE Linux Enterprise Server 12 SP3, SUSE Enterprise Storage 4, SUSE Enterprise Storage 5, SUSE OpenStack Cloud 7 に含まれるMozillaFirefoxパッケージも影響を受けます。

2.2 影響を受ける設定

この脆弱性に関連する特定の「設定」は、公開情報では言及されていません。IPCメッセージの処理における根本的な不備が原因です。

3. 影響を受けた時の兆候

公開情報では、この脆弱性単体による具体的な「兆候」は明示されていません。しかし、この脆弱性が他の脆弱性と組み合わされて任意のコード実行に繋がる場合、以下のような一般的なシステム侵害の兆候が見られる可能性があります。

  • 身に覚えのないプログラムの実行
  • システムのパフォーマンス低下
  • 予期しないネットワーク通信
  • データ漏洩の可能性
  • システムの異常終了

4. 推奨対策

4.1 本対策

  • ベンダーの指示に従い、速やかにアップデートを適用すること。
    • Firefox: Firefox 67.0.4 以降にアップデートしてください。
    • Firefox ESR: Firefox ESR 60.7.2 以降にアップデートしてください。
    • Thunderbird: Thunderbird 60.7.2 以降にアップデートしてください。
  • SUSE製品をご利用の場合は、MozillaFirefox, MozillaFirefox-devel, MozillaFirefox-translations-common パッケージを 60.7.2-109.80.1 以降にアップデートしてください。

4.2 暫定回避策（緩和策）

この脆弱性に対する具体的な暫定回避策や緩和策は、公式なアドバイザリでは提供されていません。脆弱性の性質上、IPCメッセージの検証不備が根本原因であるため、パッチの適用が最も効果的かつ推奨される対策です。CISAは、パッチが適用されていない古いバージョンのFirefoxを実行しているエンドポイントは、パッチが適用されていないだけでなく、侵害されている可能性があると見なすべきであると指摘しています。

5. その他、解説すべき観点

  • ゼロデイ攻撃での悪用: この脆弱性は、修正パッチが公開される前に積極的に悪用されたゼロデイ脆弱性として確認されています。
  • 複合的な攻撃チェーン: この脆弱性は、単独ではなく、しばしば他の脆弱性（例えば、メモリ破損の脆弱性であるCVE-2019-11707 やCVE-2019-9810）と組み合わされて、完全なリモートコード実行を実現するために悪用されました。これは、多層的なセキュリティ対策の重要性を示しています。
  • CISAの期限: 米国連邦政府の連邦政府機関は、CISAの拘束力のある運用指令22-01に基づき、2022年6月13日までにこの脆弱性を修正することが義務付けられていました。これは、この脆弱性の深刻度と対処の緊急性を示すものです。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る