Trusted Design

解説:

CVE-2020-1020について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2020-1020は、Microsoft WindowsのAdobe Type Manager Libraryにおけるリモートコード実行の脆弱性です。この脆弱性は、特別に細工されたマルチマスターフォント（Adobe Type 1 PostScript形式）を不適切に処理することに起因します。

具体的には、Windowsフォントドライバー（Windows 8.1以前ではatmfd.dll、Windows 10ではfontdrvhost.exe）のParseBlendVToHOrigin関数にスタックベースのバッファオーバーフローが存在します。この関数は、フォント内のマスター数(numMasters)が0から16までの任意の値を取る可能性があるにもかかわらず、内部で使用されるポインタと値の配列が2要素しかありません。このため、3つ以上のマスターがフォントで指定されると、スタック上のメモリが破損する可能性があります。

この脆弱性は、CVE-2020-0938と類似しており、両方とも実際に悪用されたことが確認されています。

1.1 影響

• リモートコード実行 (RCE): Windows 10以外のシステムでは、攻撃者がこの脆弱性を悪用することに成功した場合、リモートで任意のコードを実行される可能性があります。
• サンドボックスからの脱出（Windows 10の場合）: Windows 10システムでは、攻撃者が脆弱性を悪用することに成功した場合、限定された権限と機能を持つAppContainerサンドボックスコンテキスト内でコードを実行される可能性があります。
• ローカル権限昇格 (LPE): この脆弱性は、Windows 7/8/8.1 x64システムにおいて、Type1フォントプールオーバーフローを介したローカル権限昇格のエクスプロイトにも利用されました。
• カーネルメモリ破損: Windows 8.1以前のバージョンでは、この脆弱性が既知のアドレスのRWXカーネルメモリにセカンドステージペイロードを設定するために繰り返し使用され、その後CVE-2020-0938と連携してペイロードに戻るという形で悪用されていました。

1.2 深刻度

• CVSS v3.1基本スコア: 8.8 (High)
• CVSS 3.1 Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
  • AV:N (Network): ネットワーク経由で攻撃が可能
  • AC:L (Low): 攻撃の複雑さは低い
  • PR:N (None): 攻撃に特権は不要
  • UI:R (Required): ユーザーの操作が必要 (例: 悪意のあるファイルを開く)
  • S:U (Unchanged): 影響範囲は変更なし
  • C:H (High): 機密性に高い影響
  • I:H (High): 整合性に高い影響
  • A:H (High): 可用性に高い影響
• この脆弱性はCISAのKnown Exploited Vulnerabilities Catalogにも含まれており、実際に悪用されていることが確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

• Microsoft Windows全般が影響を受けます。
• 特に、Windows 7、Windows 8、Windows 8.1 (x64版) はローカル権限昇格の標的となります。
• Windows 8.1以前のバージョンで悪用が確認されています。
• Windows 10も影響を受けますが、コード実行はAppContainerサンドボックス環境に限定される傾向があります。
• 具体的に影響を受けるバージョン例として、Windows 10 v1909、v1903、v1809、v1803、v1709、およびWindows Server 2019、Windows Server 2016、Server Core インストール (2019、2016、v1909、v1903、v1803) が挙げられます。

2.2 影響を受ける設定

• Windows Adobe Type Manager Libraryが、Adobe Type 1 PostScript形式の特別に細工されたマルチマスターフォントを処理する設定。
• Type1/OpenTypeフォントにおける、PostScriptのMultiple Master拡張機能に関連するオブジェクトの使用。この機能は現在では非推奨であり、あまり使用されていません。

3. 影響を受けた時の兆候

直接的な兆候に関する具体的な記述は見つかりませんでした。しかし、脆弱性が悪用された場合、一般的に以下のような兆候が現れる可能性があります。

• アプリケーションプログラムの異常終了。
• 予期せぬシステムの挙動、パフォーマンスの低下。
• 身に覚えのないプログラムのインストールや実行。
• データの改ざんや破壊。
• 新しいユーザーアカウントの作成。
• ネットワークトラフィックの異常。

これらの兆候は、システムのイベントログ、セキュリティソフトウェアの警告、ネットワーク監視ツールなどによって検出される可能性がありますが、CVE-2020-1020に特化した具体的なIoCは公開されていません。

4. 推奨対策

4.1 本対策

• セキュリティ更新プログラムの適用: Microsoft社から提供されているセキュリティ更新プログラムを速やかに適用してください。この脆弱性は2020年4月の月例セキュリティ更新プログラムによって修正されています。
  • 例: Windows 10 1909/1903向けにはKB4549951、Windows 8.1 x64向けにはKB4550970、Windows 7 x64向けにはKB4550965などの更新プログラムが提供されています。
• Windows UpdateまたはMicrosoft Updateを通じて、セキュリティ更新プログラムが自動的にインストールされる設定を有効にすることが推奨されます。
• CISAは「ベンダーの指示に従って更新を適用する」ことを推奨しています。

4.2 暫定回避策（緩和策）

• CVE-2020-1020に特化した公式な暫定回避策や緩和策は明確に記載されていません。
• ただし、脆弱性の原因がType1/OpenTypeフォントの特定のPostScriptオブジェクト処理にあるため、信頼できないソースから提供されたフォントファイルを開かない、または処理させないようにすることは、一般的なセキュリティ衛生として有効であると考えられます。

5. 他に解説すべき観点

• 発見者: この脆弱性はGoogleのProject ZeroとThreat Analysis Groupによって報告されました。
• 公開およびパッチリリース日: 2020年3月23日に技術的な詳細なしでアドバイザリが公開され、2020年4月14日にセキュリティ速報とパッチがリリースされました。
• 悪用状況: CISAのKnown Exploited Vulnerabilities Catalogに登録されており、実際に悪用が確認されている脆弱性であるため、対応の優先度が高いとされています。
• 2020年の傾向: 2020年にはMicrosoft製品を標的とした多くの脆弱性が悪用されており、CVE-2020-1020もその一つです。

参照したサイト

• CVE-2020-1020: Windows Font Driver Type 1 VToHOrigin stack corruption | 0-days In-the-Wild
• CVE-2020-1020: Out-of-bounds Write | Rapid7 Vulnerability Database
• NVD-CVE-2020-1020 - NIST
• Known Exploited Vulnerabilities Catalog - CISA
• CVE-2020-1020 Type1 Font Pool Overflow LPE Exploit - Kitploit
• Microsoft 製品の脆弱性対策について(2020年4月) | アーカイブ - IPA
• Microsoft 社セキュリティ更新プログラム（月例）：2020 年 4 月の脆弱性開示と Snort カバレッジ
• 2020 年 4 月のセキュリティ更新プログラム (月例) - Microsoft
• Vulnerabilidad en Windows Adobe Type Manager Library en Microsoft Windows. (CVE-2020-1020) - INCIBE
• CVE-2020-1020 Type1字体池溢出本地权限提升漏洞利用 - Kitploit
• NVD 操作系统CVE-2020-1020 - 阿里云漏洞库
• Top Exploited Vulnerabilities in 2020 Affect Citrix, Microsoft Products - Recorded Future
• Local privilege escalation exploit for CVE-2020-1020 targeting Windows 7/8/8.1 x64 via Type1 Font Pool Overflow. | Kitploit
• [サイバーセキュリティ月間2020] マイクロソフト セキュリティパッチのきほん① - Microsoft