Trusted DesignCVE-2020-1380 の詳細
CVEの情報
説明:
A remote code execution vulnerability exists in the way that the scripting engine handles objects in memory in Internet Explorer. The vulnerability could corrupt memory in such a way that an attacker could execute arbitrary code in the context of the current user. An attacker who successfully exploited the vulnerability could gain the same user rights as the current user. If the current user is logged on with administrative user rights, an attacker who successfully exploited the vulnerability could take control of an affected system. An attacker could then install programs; view, change, or delete data; or create new accounts with full user rights.
In a web-based attack scenario, an attacker could host a specially crafted website that is designed to exploit the vulnerability through Internet Explorer and then convince a user to view the website. An attacker could also embed an ActiveX control marked "safe for initialization" in an application or Microsoft Office document that hosts the IE rendering engine. The attacker could also take advantage of compromised websites and websites that accept or host user-provided content or advertisements. These websites could contain specially crafted content that could exploit the vulnerability.
The security update addresses the vulnerability by modifying how the scripting engine handles objects in memory.
CVE更新日: 2020-08-17 19:15:14.553000
CVSSバージョン: 3.1
CVSSスコア: 7.8
KEVの情報
KEV更新日: 2021-11-03
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.241880000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: False
CVE-2020-1380について、以下の観点から解説します。
1. 脆弱性の概要
CVE-2020-1380は、Microsoft Internet ExplorerのJScript9スクリプトエンジンにおけるUse-After-Free（UAF）の脆弱性です。これは、リモートでコードが実行される可能性がある脆弱性として分類されています。この脆弱性は、JScript9のJust-In-Time（JIT）コンパイラにおける2つの誤ったモデル化に起因します。具体的には、
Array.prototype.pushをargumentsオブジェクトに対して呼び出した際に、スタック上の関数引数の値が変更されることをJITコンパイラが予測できなかったこと、および、value1がまだプリミティブ値であると誤って仮定し、ToPrimitive処理がコールバックを伴い任意のコードを実行できることをモデル化できなかったことにあります。これにより、タイプ推論の誤りが発生し、型付き配列のバッキング配列バッファをデタッチしてUAFをトリガーするvalueOfコールバックが実行される可能性があります。1.1 影響
この脆弱性が悪用された場合、攻撃者は現在のユーザーのコンテキストで任意のコードを実行できる可能性があります。もし現在のユーザーが管理者権限でログオンしていた場合、攻撃者はシステムを完全に制御できることになります。具体的には、プログラムのインストール、データの変更または削除、完全なユーザー権限を持つ新しいアカウントの作成などが可能になります。 この脆弱性は、権限昇格の脆弱性であるCVE-2020-0986（Windowsカーネルの脆弱性）と組み合わせて、「Operation PowerFall」と呼ばれる攻撃作戦で利用された事例が確認されています。
1.2 深刻度
Microsoftはこの脆弱性を「重要（Critical）」と評価しています。 共通脆弱性評価システム（CVSS）v3.1のスコアは7.8です。 本脆弱性は、発見およびパッチ公開時点で既に悪用が確認されていたゼロデイ脆弱性でした。
2. 対象となる環境
2.1 影響を受けるOSバージョン
2.2 影響を受ける設定
攻撃者は、ユーザーを誘導して特別に細工されたウェブサイトを閲覧させることで、この脆弱性を悪用できます。また、Internet ExplorerのレンダリングエンジンをホストするアプリケーションやMicrosoft Officeドキュメントに、「初期化に対して安全」とマークされたActiveXコントロールを埋め込むことによっても悪用が可能です。ユーザー提供のコンテンツや広告をホストするような侵害されたウェブサイトも、特別に細工されたコンテンツを含んで脆弱性を悪用する可能性があります。 この脆弱性は、Internet Explorer 11のJavaScriptエンジンであるjscript9.dllのJITエンジンを特に標的としています。
3. 影響を受けた時の兆候
この脆弱性が悪用された場合、ユーザーが直接認識できるような明確な兆候は必ずしもありません。攻撃の目的は通常、ユーザーに気づかれることなくリモートコードを実行することです。しかし、間接的な兆候としては以下のようなシステムへの影響が考えられます。
4. 推奨対策
4.1 本対策
Microsoftは2020年8月11日（米国時間）の月例セキュリティ更新プログラム（Patch Tuesday）の一部として、この脆弱性に対する修正プログラムをリリースしています。 * 修正プログラムの適用: 影響を受けるシステムには、速やかにMicrosoftから提供されているセキュリティ更新プログラムを適用してください。 * Windows 10 2004の場合、最初のパッチ適用済みバージョンはKB4566782です。 * Windows Updateを利用して、累積的なパッチを適用することが推奨されます。
4.2 暫定回避策（緩和策）
参照したサイト