2016.09.28(水)

Microsoft Internet Explorer の mshtml.dll に起因する解放済みメモリ使用の脆弱性(Scan Tech Report)

脆弱性と脅威 エクスプロイト

1.概要
Microsoft Internet Explorer (IE) に解放済みメモリを使用してしてしまう脆弱性が報告されました。
ユーザが悪質な Web ページを閲覧した場合に、リモートの第三者によってシステム上で不正な操作が実行される可能性があります。
この脆弱性は、先日 (2012/6/13) Microsoft より提供された月例パッチ (MS12-037) で解消した問題の内の 1 つになります。
既にこの脆弱性を悪用する攻撃が確認されており、攻撃を受ける可能性が高いことが考えられるため、IE 8 を利用するユーザは速やかに以下に記載する対策を実施することを推奨します。


2.深刻度(CVSS)
9.3
http://nvd.nist.gov/cvss.cfm?version=2&name=CVE-2012-1875&vector=%28AV%3AN/AC%3AM/Au%3AN/C%3AC/I%3AC/A%3AC%29


3.影響を受けるソフトウェア
Microsoft Internet Explorer 8


4.解説
IE には、Microsoft HTML Viewer (mshtml.dll) において、同じ ID 属性が指定された IMG/DIV 要素を削除する際に、mshtml!CCollectionCache::GetAtomFromName メソッドが参照している当該要素のポインタを適切に初期化せずメモリ領域から解放してしまう不備があります。
このため、再度当該メソッドを呼び出すことで、削除済みの IMG/DIV 要素が存在したメモリ領域を参照可能な脆弱性が存在します。

この脆弱性を利用することで、リモートの攻撃者は、IE を実行するユーザの権限で任意のコード実行が可能となります。

なお、Server Core インストールを実施した Windows Server 2008/2008 R2 は、IE がインストールされないためこの脆弱性の影響を受けないことが、Microsoft より報告されています。また、Windows Server 2003, Server 2008, Server 2008 R2 上の IE においては、既定で、セキュリティ強化の構成と呼ばれる制限モードで実行されるため、脆弱性の影響は緩和されるとも報告されています。

IBM, Symantec, Trend Micro 等のセキュリティベンダによれば、この脆弱性を悪用するマルウェアを確認していると報告しており、各社それぞれのシグネチャによって検知可能であるとしています。

Internet Explorerの脆弱性(MS12-037:CVE-2012-1875)を悪用する攻撃を確認
https://www-304.ibm.com/connections/blogs/tokyo-soc/entry/ms12-037_20120619
CVE-2012-1875 を悪用する脅威 - パート 1(Trojan.Naid)
http://www.symantec.com/connect/blogs/cve-2012-1875-1-trojannaid
CVE-2012-1875 を悪用する脅威 - パート 2(Internet Explorer を狙う手口)
http://www.symantec.com/connect/blogs/cve-2012-1875-2-internet-explorer
IEの脆弱性「CVE-2012-1875」を狙う「JS_DLOADER.QOA」を徹底解析
http://blog.trendmicro.co.jp/archives/5389
MS12-037 (CVE-2012-1875) 脆弱性を悪用したマルウェアが配布される
http://www.ahnlab.co.jp/securityinfo/blog.asp?seq=78


5.対策
以下の Web サイトを参考に、それぞれの Windows OS の IE 8 に対応するパッチ (MS12-037) を入手し適用することで、この脆弱性を解消することが可能です。
あるいは、インターネットおよびローカルイントラネットゾーンにおける ActiveX コントロールまたはアクティブスクリプトの実行を変更する等の回避策を実施することで、この脆弱性よる影響を緩和することが可能です。

MS12-037:
http://technet.microsoft.com/security/bulletin/MS12-037

また、当該パッチでは、他にも任意のコードやスクリプトが実行可能な複数の脆弱性が解消されています。詳細につきましては、上記 Microsoft より提供されるセキュリティアドバイザリを参照下さい。


6.ソースコード
(Web非公開)

(執筆:株式会社ラック サイバー脅威分析センター

※Web非公開該当コンテンツ閲覧をご希望の方はScan Tech Reportにご登録(有料)下さい。

Scan Tech Report
http://scan.netsecurity.ne.jp/archives/51916302.html

《吉澤 亨史》

編集部おすすめの記事

特集

脆弱性と脅威 アクセスランキング

  1. あるランサムウェアの開発者と配布者、半年で約94億円を稼ぎ出す(マカフィー)

    あるランサムウェアの開発者と配布者、半年で約94億円を稼ぎ出す(マカフィー)

  2. 警察庁が上半期レポート、「Apache Struts 2」「PLC」「IP電話」へのアクセス目立つ(警察庁)

    警察庁が上半期レポート、「Apache Struts 2」「PLC」「IP電話」へのアクセス目立つ(警察庁)

  3. 複数回のDDoS攻撃により「オーバーウォッチ」のサーバー接続が不安定に(Blizzard Entertainment)

    複数回のDDoS攻撃により「オーバーウォッチ」のサーバー接続が不安定に(Blizzard Entertainment)

  4. IoTデバイスの乗っ取りが急増、「root」「admin」の組み合わせは変更を(シマンテック)

  5. 「OpenSSL」がアップデートを公開、重要度「高」の脆弱性も(JVN)

  6. Androidアプリ「マネーフォワード」に複数の脆弱性(JVN)

  7. 「ウイルスバスター」に、マルウェアの検出を回避される脆弱性(JVN)

  8. 攻撃者はコストをかけてフィッシングの罠、10代でも10万円以上の高額被害(BBソフトサービス)

  9. 「macOS」「Safari」などに複数の脆弱性、アップデートの適用を呼びかけ(JVN)

  10. 「Splunk Enterprise」および「Splunk Light」に複数の脆弱性(JVN)

  11. 「.js」添付ファイルが急増--警察庁が上半期サイバー脅威情勢まとめ(警察庁)

  12. 少人数による攻撃でも深刻な影響を与える「Slow HTTP DoS Attack」を把握(警察庁)

  13. Vプリカを騙るメールに注意喚起、本文に再び“流失”の表記(フィッシング対策協議会)

  14. CMS「Geeklog IVYWE版」にクロスサイトスクリプティングの脆弱性(JVN)

  15. ガンホーゲームズを騙るメールに注意、本文に“流失”のミス(フィッシング対策協議会)

  16. Windows OSのパッチ適用がユーザに浸透、それ以外のパッチ未適用率は上昇(フレクセラ)

  17. ハンゲームからの認証メールを騙るフィッシングメールを確認(フィッシング対策協議会)

  18. Microsoft Windows の Secondary Logon サービスにおいて要求ハンドルの取り扱い不備により高い権限で任意のコードが実行されてしまう脆弱性(Scan Tech Report)

  19. Microsoft Internet Explorer の JScript および VBScript エンジンにおけるオブジェクト処理の不備に起因する遠隔コード実行の脆弱性(Scan Tech Report)

  20. Microsoft Windows の Win32k.sys ドライバの実装に起因する整数オーバーフローの脆弱性(Scan Tech Report)

アクセスランキングをもっと見る

★~(=^・ω・^)ノ☆★10月7日まで ノベルティや海外カンファレンスのお土産大放出キャンペーンを実施中 ★★
★~(=^・ω・^)ノ☆★10月7日まで ノベルティや海外カンファレンスのお土産大放出キャンペーンを実施中 ★★

登録すれば、記事一覧、人気記事ランキング、BASIC 会員限定記事はもちろんのこと、掲載された全ての限定コンテンツに、フルアクセスが可能となります。

×