Trusted Design

CVE-2021-1647 の詳細

CVEの情報

説明:
Microsoft Defender Remote Code Execution Vulnerability

CVE更新日: 2021-01-12 20:15:30.727000

CVSSバージョン: 3.1

CVSSスコア: 7.8

KEVの情報

KEV更新日: 2021-11-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.393920000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2021-1647に関する調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2021-1647は、Microsoft Defender（Windowsオペレーティングシステムに組み込まれているマルウェア対策ソリューション）に影響を及ぼすリモートコード実行（RCE）の脆弱性です。この脆弱性は、Microsoft Malware Protection Engine（mpengine.dll）内に存在します。

具体的には、この脆弱性は、Windows Defender (mpengine.dll) がASProtectでパックされた実行可能ファイルのセクションテーブルを処理する際に発生するヒープバッファオーバーフローに起因します。エンジンが特別に細工されたファイルを処理する際、特定のファイル構造の不適切な処理がメモリ破損を引き起こし、その結果、攻撃者が任意のコードを実行できるようになります。

この脆弱性が特に懸念されるのは、攻撃者が悪意のあるファイルを標的システムに送り込むだけで、ユーザーの操作を必要とせずに任意のコード実行を可能にする点です。また、この脆弱性は既に実世界で悪用が確認されています（"in the wild"）。

1.1 影響

この脆弱性が悪用された場合、攻撃者は影響を受けるシステム上で任意のコードを実行することができます。これにより、攻撃者は影響を受けるシステムを完全に制御できるようになる可能性があります。Microsoft Defenderは高い権限で動作するため、この脆弱性の影響は重大であると考えられます。

1.2 深刻度

CVE-2021-1647の深刻度は、CVSS:3.0スコアで7.8（高）と評価されています。CVSS:3.1ベクトルは、AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:Hです。Microsoftはこの脆弱性を「重要」レベルと位置づけています。

さらに、この脆弱性はCISAのKnown Exploited Vulnerabilities Catalogに掲載されており、実世界で悪用が確認されていることから、高い優先度で対処すべき脆弱性であるとされています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は、Windowsオペレーティングシステムに搭載されているMicrosoft Defenderに影響を与えます。具体的には、Microsoft Malware Protection Engineのバージョン1.1.17600.5以前が影響を受けます。

NVD (CVE Record) によると、Windows 7、Windows 8.1、Windows 10（各バージョン）、Windows Server（2008, 2008 R2, 2012, 2012 R2, 2016, 2004, 20H2）など、広範なWindows OSバージョンが影響を受けます。

2.2 影響を受ける設定

Microsoft Defenderを無効に設定しているシステムでも、Microsoft Defenderのファイル自体はディスク上に残存します。ただし、無効にしている場合は「悪用可能な状態ではない」とされています。サードパーティのウイルス対策ソフトウェアが導入されている場合、Microsoft Defenderは自動的にパッシブモードになります。管理タスクなどで一時的にWindows Defenderを有効にする必要がある場合、更新されていないと脆弱な状態になる可能性があります。

3. 影響を受けた時の兆候

影響を受けた際の具体的な兆候に関する直接的な記述は見当たりません。しかし、リモートコード実行の脆弱性であるため、システムが攻撃者によって制御され、任意のコードが実行される可能性があります。これにより、システムの異常終了や、意図しない動作が発生する可能性があります。

4. 推奨対策

4.1 本対策

  • Microsoft Malware Protection Engineのアップデート: Microsoft Malware Protection Engineをバージョン1.1.17700.4以降に更新してください。
  • 自動更新の確認: Microsoftのアンチマルウェアソフトウェアのデフォルト設定では、マルウェア定義ファイルとMicrosoft Malware Protection Engineが自動的に最新の状態に保たれます。この設定が有効になっていることを確認してください。
  • 企業環境での管理: 企業環境の管理者は、更新管理ソフトウェアを設定し、エンジンアップデートと新しいマルウェア定義ファイルを自動的に承認および配布するようにしてください。
  • 手動更新: エンドユーザーは、アンチマルウェアソフトウェアを手動で更新することも可能です。
  • Microsoft Security Update Guideの参照: Microsoftのセキュリティ更新プログラムガイドを参照し、必要なアップデートを適用してください。
  • CISAの推奨: CISAは、Microsoft Advisory for CVE-2021-1647を確認し、必要なアップデートを適用することを推奨しています。
  • Windows Updateの利用: Windows Updateを利用して、修正プログラムを適用してください。

4.2 暫定回避策（緩和策）

検索結果には、明確な「暫定回避策」としての記述は見当たりません。Microsoft Defenderの自動更新機能が有効になっていることが事実上の緩和策となり、手動での更新も可能です。

不明な点

  • 影響を受けた際の具体的な「兆候」については、一般的なリモートコード実行の症状は示唆されていますが、CVE-2021-1647に特化した詳細な兆候の記述はありませんでした。

他に解説すべき観点

  • 脆弱性の種類: 本脆弱性は、ヒープバッファオーバーフローに分類されます。
  • 発見経緯: この脆弱性は、ファジングまたは手動コードレビューによって発見された可能性があります。
  • 悪用状況: この脆弱性は、既に実世界で悪用が確認されており（"exploits in the wild"）、CISAのKnown Exploited Vulnerabilities Catalogにも掲載されています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る