CVE-2017-0199 - 脆弱性調査レポート

  • 本文プリント

Microsoft Officeおよびワードパッドの脆弱性により、リモートから任意のコードが実行可能な脆弱性(CVE-2017-0199)に関する調査レポート

  • 2017年4月28日

概要

Microsoft Officeおよびワードパッドに、リモートより任意のコードが実行可能な脆弱性(CVE-2017-0199)及び、その脆弱性を利用する攻撃コードが発見されました。
本脆弱性は、Microsoft OLE(※1)におけるURL Moniker(※2)での処理に起因する脆弱性で、細工されたHTA(※3)コンテンツの処理に不具合があるため生じる脆弱性です。
この脆弱性を利用し、攻撃者は細工を施したWordファイルを電子メール等で送信し、同ファイルを受信したユーザーがそのファイルを開くことで、リモートから任意のコードを実行される等の危険性があります。

※1 OLE(Object Linking and Embedding)
複数のデータや機能が含まれた複合データを、一つのアプリケーションで編集を可能とするテクノロジーです。例えば、これによりWordに埋め込まれたExcelスプレッドシートをExcelを起動せずに、Word上で編集することが可能となります。

※2 URL Moniker
指定したURLのリソースを、他のコンポ―ネントでも使用できるようにするサービスを提供するCOMオブジェクト。

※3 HTA
HTMLを動的に変化させるダイナミックHTMLの機能を利用して、Windows向けのアプリケーションを作成する技術のことです。

本レポート作成時点(2017年4月28日)において、ベンダーより脆弱性を解決する更新プログラムがリリースされております(2017年4月11日付)。しかしながら、攻撃を成立させるためのコードが容易に入手可能であり、かつ脆弱性に対する攻撃が容易であること、また攻撃を受けた際にシステムへの影響が大きいこと、加えてベンダーが「同脆弱性を悪用した事実を確認済み」と公表していることから、今回、この脆弱性(CVE-2017-0199)の再現性について検証を行いました。

影響を受ける可能性があるシステム

  • Microsoft Office 2007 Service Pack 3
  • Microsoft Office 2010 Service Pack 2 (32ビット版)
  • Microsoft Office 2010 Service Pack 2 (64ビット版)
  • Microsoft Office 2013 Service Pack 1 (32ビット版)
  • Microsoft Office 2013 Service Pack 1 (64ビット版)
  • Microsoft Office 2016 (32ビット版)
  • Microsoft Office 2016 (64ビット版)
  • Windows 7 for 32-bit Systems Service Pack 1
  • Windows 7 for x64-based Systems Service Pack 1
  • Windows Server 2008 for 32-bit Systems Service Pack 2
  • Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)
  • Windows Server 2008 for Itanium-Based Systems Service Pack 2
  • Windows Server 2008 for x64-based Systems Service Pack 2
  • Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)
  • Windows Server 2008 R2 for Itanium-Based Systems Service Pack 1
  • Windows Server 2008 R2 for x64-based Systems Service Pack 1
  • Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
  • Windows Server 2012
  • Windows Server 2012 (Server Core installation)
  • Windows Vista Service Pack 2
  • Windows Vista x64 Edition Service Pack 2

対策案

Microsoft社より、この脆弱性を修正する更新プログラム(KB3141529、KB3141538、KB3178710およびKB3178703)がリリースされています。当該脆弱性を修正する更新プログラムを適用していただくことを推奨いたします。

参考サイト


検証概要

添付ファイル付き電子メールを送信する等をして、脆弱性が存在するターゲットシステムが受信したと想定し、細工を施したWordファイルをターゲットシステムにて開きます。ターゲットシステムは意図せず、攻撃者が用意した攻撃サイトにある細工されたHTAコンテンツにアクセスします。今回の検証に用いたHTAコンテンツは、ターゲットシステム上から特定のサーバー、ポートへコネクションを確立させるよう誘導し、システム制御を奪取するものです。これにより、リモートからターゲットシステムが操作可能となります。

*誘導先のシステムはLinuxです。

検証ターゲットシステム

Windows 7 Enterprise SP1 日本語版
Microsoft Office Professional Plus 2016 日本語版

検証イメージ

検証イメージ

検証結果

下図は、誘導先のコンピュータ(Linux)の画面です。黄線で囲まれた部分は、誘導先のホストの情報です。
一方で、赤線で囲まれている部分は、ターゲットシステム(Windows7)において、ユーザーの情報、IPアドレスの情報を表示するコマンドを実行した結果が表示されています。
これにより、ターゲットシステムで任意のコマンドを実行することに成功したと判断できます。



検証結果


更新履歴

2017年4月28日 : 初版公開

  • PDF版はこちら
  • セキュティソリューション一覧

    脆弱性調査レポートのメール配信を開始しました!

    ご好評いただいている「脆弱性調査レポート」ですが、コンテンツの都合上、レポートの発行は不定期です。そこで、新しい脆弱性調査レポートを発行するたびに最新情報をメールでお届けする「脆弱性調査レポート メール」の配信を開始しました。ぜひご登録ください。

    本件に関するお問い合わせ先

    『報道関係者様からのお問い合わせ』
    ソフトバンク・テクノロジー株式会社
    管理本部 経営企画部 齊藤、安部、菅
    TEL:03-6892-3063
    メールアドレス:sbt-pr@tech.softbank.co.jp
    『お客様からのお問い合わせ』
    下記問い合わせフォームよりお問い合わせください。

    お問い合わせ・資料請求

    課題や悩みをお持ちのお客様は、
    まずお気軽にご相談ください。

    総合お問い合わせはこちら

    目的別・サービス別のご相談は「お問い合わせ・資料請求先一覧」からお問い合わせください。

    ページトップへ