Trusted Design

CVE-2019-17026 の詳細

CVEの情報

説明:
Incorrect alias information in IonMonkey JIT compiler for setting array elements could lead to a type confusion. We are aware of targeted attacks in the wild abusing this flaw. This vulnerability affects Firefox ESR < 68.4.1, Thunderbird < 68.4.1, and Firefox < 72.0.1.

CVE更新日: 2020-03-02 05:15:12.010000

CVSSバージョン: 3.1

CVSSスコア: 8.8

KEVの情報

KEV更新日: 2021-11-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.463110000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2019-17026について、以下の観点で解説します。

1. 脆弱性の概要

本脆弱性（CVE-2019-17026）は、Mozilla FirefoxおよびThunderbirdに存在する型混乱（Type Confusion）の脆弱性です。具体的には、JavaScriptのJIT (Just-In-Time) コンパイラであるIonMonkeyにおいて、配列要素を設定する際のエイリアス情報の誤りにより、型混乱が引き起こされます。

1.1 影響

この脆弱性が悪用された場合、リモートからの攻撃によって任意のコードが実行される恐れがあります。この欠陥を悪用した標的型攻撃が実際に発生していることが確認されています。また、メモリ領域内で本来アクセスが禁止されているデータが不適切に読み書きされることにより、攻撃者がメモリ保護メカニズムを回避し、悪意のあるソフトウェアを注入・実行して、被害者のコンピュータシステムを制御する可能性があります。

1.2 深刻度

Mozillaの基準では「Critical」（最高評価）とされています。CVSSv3.1の基本評価は8.8（High）です。また、この脆弱性はCISA（米国サイバーセキュリティ・インフラセキュリティ庁）の既知の悪用された脆弱性カタログに掲載されており、実社会での悪用が確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

特定のOSバージョンに限定されず、Mozilla FirefoxおよびThunderbirdが動作するWindows、macOS、LinuxなどのOSが影響を受けます。攻撃コードは32bit OSおよび64bit OSの両方をターゲットにしていることが確認されています。

2.2 影響を受ける設定

不明。特定のソフトウェア設定に依存するという明確な情報は見当たりません。

3. 影響を受けた時の兆候

この脆弱性は任意のコード実行を引き起こすため、直接的な兆候は特定しにくいですが、以下のような間接的な兆候が考えられます。 * システムが予期しない動作をする。 * 身に覚えのないマルウェアが検出される、またはインストールされる。 * システムのパフォーマンスが低下する。

4. 推奨対策

4.1 本対策

本脆弱性を修正したバージョンに速やかにアップデートすることが推奨されます。

  • Mozilla Firefox: Firefox 72.0.1 以降のバージョンに更新する。
  • Mozilla Firefox ESR: Firefox ESR 68.4.1 以降のバージョンに更新する。
  • Mozilla Thunderbird: Thunderbird 68.4.1 以降のバージョンに更新する。

4.2 暫定回避策（緩和策）

  • 来路不明なURLリンクのクリックを避けることが推奨されます。
  • 他に具体的な暫定回避策の記述は見当たりませんが、Webブラウジングにおいては、信頼できないサイトへのアクセスを控え、不審なコンテンツとのインタラクションを避けることが一般的な対策として挙げられます。

5. 他に解説すべき観点

  • ゼロデイ攻撃: 本脆弱性は、修正パッチが公開される前に実際の攻撃で悪用された「ゼロデイ脆弱性」でした.
  • 報告者: 中国のセキュリティベンダーである奇虎（Qihoo）360 ATAによって報告されました.
  • CVSSv3詳細: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H。これは、攻撃元がネットワーク経由で、攻撃の複雑さが低く、必要な特権レベルがなく、ユーザーの操作（UI:R）が必要であることを示し、機密性（C）、完全性（I）、可用性（A）への影響がすべて高い（H）ことを意味します。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る