Trusted DesignCVE-2021-40444 の詳細
CVEの情報
説明:
<p>Microsoft is investigating reports of a remote code execution vulnerability in MSHTML that affects Microsoft Windows. Microsoft is aware of targeted attacks that attempt to exploit this vulnerability by using specially-crafted Microsoft Office documents.</p>
<p>An attacker could craft a malicious ActiveX control to be used by a Microsoft Office document that hosts the browser rendering engine. The attacker would then have to convince the user to open the malicious document. Users whose accounts are configured to have fewer user rights on the system could be less impacted than users who operate with administrative user rights.</p>
<p>Microsoft Defender Antivirus and Microsoft Defender for Endpoint both provide detection and protections for the known vulnerability. Customers should keep antimalware products up to date. Customers who utilize automatic updates do not need to take additional action. Enterprise customers who manage updates should select the detection build 1.349.22.0 or newer and deploy it across their environments. Microsoft Defender for Endpoint alerts will be displayed as: “Suspicious Cpl File Execution”.</p>
<p>Upon completion of this investigation, Microsoft will take the appropriate action to help protect our customers. This may include providing a security update through our monthly release process or providing an out-of-cycle security update, depending on customer needs.</p>
<p>Please see the <strong>Mitigations</strong> and <strong>Workaround</strong> sections for important information about steps you can take to protect your system from this vulnerability.</p>
<p><strong>UPDATE</strong> September 14, 2021: Microsoft has released security updates to address this vulnerability. Please see the Security Updates table for the applicable update for your system. We recommend that you install these updates immediately. Please see the FAQ for important information about which updates are applicable to your system.</p>
CVE更新日: 2021-09-15 12:15:16.467000
CVSSバージョン: 3.1
CVSSスコア: 8.8
KEVの情報
KEV更新日: 2021-11-03
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.978400000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: False
CVE-2021-40444について、以下の観点で解説します。
1. 脆弱性の概要
CVE-2021-40444は、Microsoft WindowsのMSHTML（Tridentとも呼ばれる）に存在するリモートコード実行の脆弱性です。MSHTMLは、Internet Explorerのブラウザエンジンであり、Microsoft OfficeアプリケーションがHTMLコンテンツをレンダリングするためにも使用されます。この脆弱性を悪用することで、攻撃者は特別に細工したMicrosoft Officeドキュメントを介して、被害者のシステム上で任意のコードを実行する可能性があります。
攻撃は、悪意のあるActiveXコントロールをOfficeドキュメントに埋め込み、ユーザーが悪意のあるドキュメントを開くことで実行されます。Microsoftは、この脆弱性が標的型攻撃で積極的に悪用されていることを確認しています。
1.1 影響 攻撃が成功すると、攻撃者は被害者のシステム上で任意のコードを、被害者の権限で実行できます。ユーザーが管理者権限を持っている場合、攻撃者はシステムを完全に制御する可能性があります。この脆弱性は、Cobalt Strike Beacon やMerkSpy といったマルウェアのペイロードを配信するために利用された事例が確認されています。
1.2 深刻度 CVSS v3.1スコアは8.8（重要）と評価されており、深刻度は高いとされています。Microsoftの基準では5段階中2番目に高い「Important」に分類されています。
2. 対象となる環境
2.1 影響を受けるOSバージョン 以下のMicrosoft Windows製品が影響を受けます。
2.2 影響を受ける設定 本脆弱性は、ブラウザレンダリングエンジン（MSHTML）をホストするMicrosoft Officeドキュメントに、悪意のあるActiveXコントロールが埋め込まれている場合に影響を受けます。
3. 影響を受けた時の兆候
4. 推奨対策
4.1 本対策 * セキュリティ更新プログラムの適用: Microsoftは、2021年9月14日に本脆弱性に対処するセキュリティ更新プログラムをリリースしています。すべての影響を受けるWindowsバージョンにこの更新プログラムを直ちに適用することが推奨されます。 * マルウェア対策製品の更新: Microsoft Defender Antivirusの定義ファイルをビルド1.349.22.0以降に更新してください。自動更新を利用している場合は追加の措置は不要ですが、更新プログラムを管理している企業顧客は、検出ビルド1.349.22.0以降を展開する必要があります。
4.2 暫定回避策（緩和策） * 信頼できないファイルの開封を避ける: 信頼できない送信元からのMicrosoft Officeドキュメントは開かないようにしてください。 * Officeの保護ビューとApplication Guard for Office: インターネットから入手したOfficeドキュメントは、デフォルトで「保護ビュー」または「Application Guard for Office」で開かれるため、本脆弱性を悪用した攻撃を防ぐことができます。ただし、ユーザーが「編集を有効にする」をクリックして保護ビューを解除すると、脆弱性の影響を受ける可能性があります。保護ビューの表示があった場合は、安易に解除しないよう注意が必要です。 * ActiveXコントロールの無効化: Internet Explorer 11において、すべてのActiveXコントロールのインストールを無効にすることで、攻撃を緩和できます。レジストリ設定を変更する方法がMicrosoftから案内されています。 * キー:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0* アタックサーフェス削減ルールの有効化: Officeアプリケーションが子プロセスを作成するのをブロックするアタックサーフェス削減ルールを有効にすることで、これらの攻撃で使用される悪用技術の影響を受けません。参照したサイト