Trusted Design

CVE-2024-43573 の詳細

CVEの情報

説明:
Windows MSHTML Platform Spoofing Vulnerability

CVE更新日: 2024-10-08 18:15:24.817000

CVSSバージョン: 3.1

CVSSスコア: 6.5

KEVの情報

KEV更新日: 2024-10-08

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.461090000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2024-43573に関する脆弱性の調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2024-43573は、Microsoft WindowsのMSHTMLプラットフォームに存在するスプーフィングの脆弱性です。この脆弱性は、MSHTMLプラットフォームがHTMLコンテンツを不適切に処理することに起因し、特定のスクリプトの出所を適切に検証および認証できないことにあります。これにより、攻撃者は悪意のあるWebページや電子メールを作成し、正規のコンテンツであるかのように偽装して、ユーザーが閲覧した際に任意のスクリプトを実行したり、機密情報にアクセスしたりする可能性があります。

1.1 影響

この脆弱性が悪用されると、スプーフィング攻撃が可能となり、機密情報が漏洩したり、広範囲なシステムへの侵入につながる可能性があります。攻撃者は、ユーザーをだまして偽のインターフェースやサービスとやり取りさせることができ、その結果、機密性が損なわれる恐れがあります。

1.2 深刻度

CVE-2024-43573は、CVSS v3.1基本スコアが8.1（High、重要）と評価されています。 また、一部の評価ではCVSSv3スコアが6.5（Moderate、中程度）とされていますが、これは悪用された事実を鑑みると軽視できない深刻度です。

この脆弱性は、米サイバーセキュリティ・インフラセキュリティ庁（CISA）のKnown Exploited Vulnerabilities (KEV) Catalogに登録されており、すでに実環境で悪用が確認されているゼロデイ脆弱性です。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は、Microsoft Windowsシステム上のMSHTMLプラットフォームコンポーネントに影響を与えます。 影響を受ける具体的なOSバージョンは以下の通りです。

  • Microsoft Windows 10 (32-bit Systems, x64-based Systems, Version 1607, Version 1809, Version 21H2, Version 22H2)
  • Microsoft Windows 11 (ARM64-based Systems, x64-based Systems, Version 21H2, Version 22H2, Version 23H2, Version 24H2)
  • Microsoft Windows Server (2012 R2, 2016, 2019, 2022, 23H2 Edition)

2.2 影響を受ける設定

この脆弱性は、MSHTMLプラットフォームのHTMLコンテンツ処理における不備に起因しており、特定の「設定」が脆弱性を引き起こすわけではありません。

3. 影響を受けた時の兆候

検索結果には、CVE-2024-43573が悪用された際の具体的なシステム上の兆候（例：特定のエラーメッセージ、異常なシステム動作など）は明確に記載されていません。しかし、この脆弱性は悪意のあるWebページや電子メールの閲覧によって悪用される可能性があり、機密情報の漏洩やシステムへの広範囲な侵入といった結果につながる可能性があります。

4. 推奨対策

4.1 本対策

MicrosoftはCVE-2024-43573に対処するための公式パッチをリリースしています。このパッチは、MSHTMLの不備を修正し、悪意のあるHTMLコンテンツの実行を防ぐための検証チェックを改善します。

  • セキュリティ更新プログラムの適用: Microsoftは2024年10月の月例セキュリティ更新プログラム（Patch Tuesday）で本脆弱性を含む多数の脆弱性を修正しました。ユーザーおよび管理者は、これらの更新プログラムを速やかに適用する必要があります。
  • Windows Updateを通じて、セキュリティ更新プログラムが自動的にダウンロードされ、インストールされます。

4.2 暫定回避策（緩和策）

この脆弱性に対する具体的な技術的な暫定回避策は、検索結果には明記されていません。しかし、一般的なセキュリティ対策として以下の点が推奨されます。

  • セキュリティ意識向上トレーニング: ゼロデイ脆弱性は、悪意のある添付ファイルを開いたり、フィッシング詐欺の被害に遭ったりするなど、人的ミスを悪用することが多いため、従業員に安全なオンライン行動や不審なメールの検出方法について教育することで、これらのリスクを軽減できます。

その他解説すべき観点

  • ゼロデイ脆弱性: CVE-2024-43573は、マイクロソフトがパッチをリリースする前に既に実環境で悪用が確認されていたゼロデイ脆弱性です。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る