Trusted Design

解説:

CVE-2019-1367について、以下の観点から解説します。

1. 脆弱性の概要

CVE-2019-1367は、Microsoft Internet Explorerのスクリプトエンジンにおけるメモリ破損の脆弱性です。これは、スクリプトエンジンがメモリ内のオブジェクトを処理する方法に存在する、境界外書き込み（Out-of-bounds Write、CWE-787）およびUse-After-Freeの欠陥に起因します。攻撃者は、特別に細工されたウェブサイトを作成し、ユーザーをそのウェブサイトに誘導することで、この脆弱性を悪用することができます。

1.1 影響

この脆弱性が悪用された場合、攻撃者は現在のユーザーのコンテキストで任意のコードを実行できる可能性があります。もし現在のユーザーが管理者権限でログオンしている場合、攻撃者はシステムを完全に制御する可能性があります。これにより、データの機密性、完全性、可用性が高度に影響を受ける可能性があります。この脆弱性は、ランサムウェアキャンペーンを含む実際の攻撃で積極的に悪用されていることが確認されています。

1.2 深刻度

CVE-2019-1367は高 severity と評価されています。CVSS 3.1スコアは7.5です。CISA（米国サイバーセキュリティ・インフラセキュリティ庁）の既知の悪用された脆弱性カタログ（Known Exploited Vulnerabilities Catalog）にもリストされており、2022年5月3日までの修正期限が設定されていました。

2. 対象となる環境

2.1 影響を受けるOSバージョン

以下のMicrosoft Internet Explorerのバージョンが影響を受けます。 * Internet Explorer 9 * Internet Explorer 10 * Internet Explorer 11

これには、以下のOSバージョン上のInternet Explorerが含まれます。 * Windows 10 (バージョン 1903, 1809, 1803, 1709, 1703, 1607) * Windows Server 2019 * Windows Server 2016 * Windows Server 2012 * Windows Server 2008 Service Pack 2 * Windows 7 * Windows 8.1

2.2 影響を受ける設定

脆弱性はInternet ExplorerのJScriptスクリプトエンジンに存在します。Windows Serverのサポートされているバージョンでは、Internet Explorerが「拡張セキュリティ構成（Enhanced Security Configuration）」という制限付きモードで実行されるため、リスクを軽減する効果がありますが、脆弱性を完全に排除するものではありません。

3. 影響を受けた時の兆候

この脆弱性が悪用された場合、以下のような兆候が現れる可能性があります。 * 通常と異なるスクリプトエンジンの活動 * Internet Explorerからの予期しないプロセス生成 * ランサムウェア展開の兆候（この脆弱性はランサムウェアキャンペーンと関連付けられています） システムログの確認や脅威ハンティングを実施し、パッチ適用以前に悪用が行われたかどうかを判断することが推奨されます。

4. 推奨対策

4.1 本対策

• ベンダーパッチの適用: Microsoftから提供されているセキュリティアップデートを直ちに適用してください。この脆弱性に対するパッチは、Microsoftによってアウトオブバンドで緊急リリースされました。CISAの指示に従い、ベンダーの指示に基づいてアップデートを適用する必要があります。
• 最新のブラウザへの移行: Internet Explorerはすでにサポート終了（End of Life）しており、セキュリティアップデートが提供されなくなっています。Microsoft Edgeのような最新のサポートされているブラウザへの移行を強く推奨します。

4.2 暫定回避策（緩和策）

• JScript.dllへのアクセス制限: JScript.dllへのアクセスを制限する回避策が提供されています。ただし、この方法を使用すると、JScript.dllに依存する機能やコンポーネントの機能が低下する可能性があります。JScript9.dllは影響を受けません。

5. 不明点

特になし。

6. 他に解説すべき観点

• 脆弱性の種類: メモリ破損の脆弱性であり、具体的にはJScriptスクリプトエンジンにおける境界外書き込み（CWE-787）およびUse-After-Freeのバグです。
• 攻撃手法: ネットワークベースの攻撃であり、攻撃者は特別に細工したウェブサイトをホストし、ユーザーをそのサイトに誘導する（例：電子メールを介して）必要があります。ユーザーの操作が必要とされます。
• 報告者: GoogleのThreat Analysis Group (TAG) のClément Lecigne氏によって報告されました。
• 実際の悪用: この脆弱性は、実際の攻撃で積極的に悪用されたことが確認されており、CISAの既知の悪用された脆弱性カタログに記載されています。ランサムウェアキャンペーンや、DarkHotel APTグループのような高度な持続的脅威（APT）グループとの関連も指摘されています。

参照したサイト

• CVE-2019-1367 - Microsoft Internet Explorer Scripting Engine Memory Corruption Vulnerability | turingpoint
• Microsoft drops emergency Internet Explorer fix for actively exploited zero-day
• CVE-2019-1367: Internet Explorer JScript use-after-free | 0-days In-the-Wild
• Internet Explorer CVE-2019–1367 In the wild Exploitation — prelude - Confiant
• CVE-2019-1367 – Microsoft Internet Explorer Scripting Engine Memory…
• Microsoft Issues Security Advisories for IE and Microsoft Defender - Redmondmag.com
• NVD-CVE-2019-1367 - NIST
• What do we know about the big, scary, exploited, emergency-patched IE security hole CVE-2019-1367? - Computerworld
• Microsoft Patches Internet Explorer Vulnerability Exploited in Attacks - SecurityWeek
• Microsoft releases even more patches for the CVE-2019-1367 IE zero-day, and the bugs are having a field day - Computerworld
• CVE Program Container (CVE-2019-1367) | HOL Guard CVE
• Microsoft Internet Explorer Scripting Engine Memory Corruption Vulnerability
• A new Internet Explorer bug can take over your entire PC, so stop using it - TechCentral.ie
• 800 Million Microsoft Windows 10 Customers Just Got an Urgent Warning to Update Their Software Now - Inc. Magazine
• IE Out-of-Band advisory CVE-2019-1367, has just dropped from Microsoft - Reddit
• Known Exploited Vulnerabilities Catalog - CISA