Trusted Design

CVE-2021-26411 の詳細

CVEの情報

説明:
Internet Explorer Memory Corruption Vulnerability

CVE更新日: 2021-03-11 16:15:13.863000

CVSSバージョン: 3.1

CVSSスコア: 8.8

KEVの情報

KEV更新日: 2021-11-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.807650000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2021-26411について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2021-26411は、Microsoft Internet ExplorerおよびMicrosoft Edge (EdgeHTMLベース) に存在するメモリ破損の脆弱性です。これはUse-After-Free（解放後使用）の脆弱性として分類されます。攻撃者は、細工されたWebサイトにユーザーを誘導することで、ブラウザプロセス内で任意のコードを実行する可能性があります。

1.1 影響

この脆弱性が悪用されると、攻撃者はターゲットのシステム上でリモートから任意のコードを実行（Remote Code Execution, RCE）できる可能性があります。実際に、CISAの既知の悪用されている脆弱性カタログに掲載されており、実世界での悪用が確認されています。 具体的には、ユーザーが悪意のある、または侵害されたWebサイトにアクセスするだけで、ブラウザプロセス内でリモートコード実行を達成できます。

1.2 深刻度

CVSS v3.1スコアは8.8で、「High（重要）」と評価されています。 この脆弱性は、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）の「Known Exploited Vulnerabilities Catalog」に掲載されており、広範囲で活発な悪用が確認されていることを意味します。

2. 対象となる環境

2.1 影響を受けるOSバージョン

主に以下の製品が影響を受けます。 * Microsoft Internet Explorer 9 * Microsoft Internet Explorer 11 * Microsoft Edge (EdgeHTMLベース) * Microsoft Windows Server 2008 R2 SP1 (x64) もCPEリストに記載されています。

2.2 影響を受ける設定

この脆弱性は、Internet ExplorerのMSHTMLコンポーネント内の不具合に起因します。具体的には、removeAttributeNode()関数が属性オブジェクトのnodeValueのvalueOfコールバックをトリガーし、そのコールバック中にclearAttributes()が手動で呼び出されると、nodeValueに保存されていたBSTRが早期に解放され、メモリ破損が発生するというものです。 特定の設定を変更することで脆弱性が発現するのではなく、ブラウザのHTMLレンダリングエンジンの内部処理の欠陥です。

3. 影響を受けた時の兆候

この脆弱性が悪用された場合、ブラウザプロセス内でリモートコードが実行されます。これにより、不審なプログラム（例えばPowerShellプロセスを起動して追加のマルウェアをダウンロードするような動作）が実行される可能性があります。 PoC（概念実証）コードを実行した際には、ヌルポインタ参照によってブラウザがクラッシュする兆候が報告されています。 ユーザーは、予期せぬブラウザのクラッシュ、システムの異常な動作、または意図しないソフトウェアのインストールなどを経験する可能性があります。

4. 推奨対策

4.1 本対策

Microsoftは、2021年3月の月例セキュリティ更新プログラム（Patch Tuesday）でこの脆弱性に対処する修正プログラムをリリースしました。 影響を受けるシステムには、速やかにベンダー（Microsoft）からのセキュリティ更新プログラムを適用することが強く推奨されます。 また、古いバージョンのInternet Explorerを使用している場合は、最新のInternet Explorer、またはより新しいモダンなブラウザ（Microsoft Edge Chromium版など）に更新することが推奨されます。

4.2 暫定回避策（緩和策）

明確な暫定回避策として、Internet Explorerの無効化がアイデアとして挙げられています。 しかし、恒久的な解決策としては、Microsoftが提供するセキュリティパッチの適用が不可欠です。

他に解説すべき観点

  • 積極的な悪用: 本脆弱性は、CISAのKnown Exploited Vulnerabilities Catalogに掲載されており、実際に攻撃で悪用されていることが確認されています。
  • 攻撃グループ: この脆弱性は、セキュリティ研究者を標的とした北朝鮮のAPTグループによるキャンペーンで悪用されたとされています。 また、「Purple Fox」Exploit Kitによっても悪用が確認されています。
  • 攻撃手法: 攻撃者は、ユーザーを悪意のあるWebサイトまたは侵害されたWebサイトに誘導し、ブラウザの脆弱性を悪用してリモートコードを実行します。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る