Trusted Design

解説:

CVE-2010-2568は、Microsoft Windowsのシェルに存在する脆弱性で、特定のショートカットファイル（.LNKまたは.PIF）の処理に問題があり、任意のコード実行につながる可能性があります。この脆弱性は、Stuxnetワームによって悪用されたことで広く知られています。

1. 脆弱性の概要

Microsoft Windowsのシェルが、細工された.LNK（ショートカットファイル）または.PIF（プログラム情報ファイル）ファイルを適切に処理しない脆弱性です。Windows Explorerでこれらのファイルのアイコンが表示される際に、任意のコードが自動的に実行される可能性があります。攻撃者は、ローカルまたはリモートでこの脆弱性を悪用できます。

1.1 影響

この脆弱性が悪用された場合、攻撃者はログオンしているユーザーの権限で任意のコードを実行できる可能性があります。これにより、マルウェアが他のコンポーネントを削除またはインストールしたり、実行中のプロセスにコードを注入したり、感染したコンピューターへのバックドアアクセスを可能にしたりする可能性があります。また、OSおよびオートラン/オートプレイの設定によっては、USBデバイスを接続するだけで任意のコードが実行される可能性があります。

1.2 深刻度

• CVSS v2.0 基本評価値: 9.3 (緊急 - Critical)
• CVSS v3.1 基本評価値: 7.8 (高 - High)
• この脆弱性は、CISA（サイバーセキュリティ・インフラセキュリティ庁）の既知の悪用された脆弱性（KEV）カタログに2022年9月15日に追加されており、実際に悪用されていることが確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

• Microsoft Windows XP SP3
• Microsoft Windows XP Professional x64 Edition SP2
• Microsoft Windows Server 2003 SP2
• Microsoft Windows Server 2003 x64 Edition SP2
• Microsoft Windows Server 2003 with SP2 for Itanium-based Systems
• Microsoft Windows Vista SP1 および SP2
• Microsoft Windows Vista x64 Edition SP1 および SP2
• Microsoft Windows Server 2008 for 32-bit Systems および SP2
• Microsoft Windows Server 2008 for x64-based Systems および SP2
• Microsoft Windows Server 2008 for Itanium-based Systems および SP2
• Microsoft Windows Server 2008 R2 for x64-based Systems
• Microsoft Windows Server 2008 R2 for Itanium-based Systems
• Microsoft Windows 7 (32-bit Systems および x64-based Systems)

2.2 影響を受ける設定

• ショートカットファイルのアイコン表示が有効なシステム。
• OSおよびオートラン/オートプレイの設定が有効になっている場合、USBデバイスなどを介して容易に感染する可能性があります。

3. 影響を受けた時の兆候

明確なシステム上の兆候は特定されていませんが、この脆弱性を悪用するマルウェア（Stuxnetなど）に感染した場合の一般的な兆候が見られる可能性があります。不正なショートカットファイルが存在するフォルダを閲覧するだけで、DLLファイルが自動的にロードされて実行されるため、ユーザーが気付かないうちにシステムが侵害される可能性があります。

4. 推奨対策

4.1 本対策

Microsoftから提供されているセキュリティ更新プログラム「MS10-046」を適用することが最も重要な対策です。この更新プログラムは2010年8月3日に公開されています。

4.2 暫定回避策（緩和策）

本対策を適用するまでの間、以下の緩和策を検討してください。 * ショートカットのアイコン表示を無効にする。 * WebClientサービスを無効にする。 * 139/tcp、139/udp、445/tcp、および445/udpの外向きの通信を遮断する。 * アンチウイルス製品を常に最新の状態に保ち、定期的にフルスキャンを実施する。多くのアンチウイルス製品は、この脆弱性を悪用するマルウェアを検出および除去できます。 * リムーバブルメディア（USBデバイスなど）からの感染リスクが高いため、これらのメディアのセキュリティ対策を見直すことが推奨されます。

その他解説すべき観点

• Stuxnetとの関連: この脆弱性（CVE-2010-2568）は、イランの核施設を標的としたサイバー攻撃に使用されたとされるStuxnetワームがエアギャップネットワークを越えて感染するために悪用したゼロデイ脆弱性の一つとして非常に有名です。
• 実世界での悪用: 2010年7月には、この脆弱性が実際に悪用されていることが確認されました。
• 標的型攻撃: 当初、この脆弱性はSiemens WinCC SCADAシステムを標的としたマルウェアによって利用されたと報告されています。

参照したサイト

• NVD-CVE-2010-2568 - NIST
• CVE-2010–2568-Vulnerability. Introduction | by Zhoukeye - Medium
• CVE-2010-2568: Microsoft Windows Remote Code Execution Vulnerability - Safeguard
• CVE-2010-2568 | セキュリティNOW! サイバーセキュリティ情報ポータルサイト - SMS DataTech
• CVE-2010-2568 - CVE Record
• JVNDB-2010-001811 - JVN iPedia - 脆弱性対策情報データベース
• Microsoft Windows のショートカットファイルに不正なコードを実行される脆弱性(CVE-2010-2568)
• Attack: MS Windows Link File CVE-2010-2568 - Broadcom Inc.
• CVE-2010-2568 exploited: patch Microsoft Windows now - Senserva
• Palo Alto Networks Traps Prevents Exploitation of CVE-2010-2568/CVE-2015-0096 - Stuxnet Zero Day
• Advisories - Malware Targeting Simatic WinCC and Simatic PCS 7 SCADA Systems
• Vulnerability in Microsoft Windows Shell (CVE-2010-2568, MS10-046, TA10-222A) - JVN
• A few facts about Win32/Stuxnet & CVE-2010-2568 - We Live Security
• 緊急パッチ公開、Windowsのショートカットファイル処理の脆弱性に対応（マイクロソフト）
• 脆弱性(CVE-2010-2568)を悪用するウイルスが連続で1位に！－マカフィー | マイナビニュース
• 15年間にわたるエアギャップネットワークを標的としたマルウェアフレームワークの攻撃手法