Trusted Design

解説:

CVE-2012-0158は、Microsoft Windowsのコモンコントロール（MSCOMCTL.OCX）に含まれるActiveXコントロールにおけるリモートコード実行の脆弱性です。この脆弱性は、特にListView、ListView2、TreeView、TreeView2 ActiveXコントロールにバッファオーバーフローの欠陥が存在することにより発生します。

攻撃者は、細工されたウェブサイト、Officeドキュメント、または.rtfファイルを介してこの脆弱性を悪用し、標的となるユーザーのシステム上で任意のコードを実行する可能性があります。この脆弱性は2012年4月に実際に悪用されたことが確認されています。

1. 脆弱性の概要

Windowsコモンコントロール（MSCOMCTL.OCX）内のActiveXコントロール（ListView、ListView2、TreeView、TreeView2）に存在するバッファオーバーフローの脆弱性です。攻撃者が巧妙に作成したウェブページ、Microsoft Officeドキュメント、または.rtfファイルを開かせることで、システムの「状態」を破損させ、結果として任意のコード実行を可能にします。

1.1 影響

• リモートコード実行: 攻撃者は、脆弱性を悪用して標的システム上で任意のコードを実行できます。
• ユーザー権限の奪取: 攻撃が成功した場合、ログオンしているユーザーと同じ権限を獲得する可能性があります。これにより、攻撃者は影響を受けたシステムを完全に制御できる場合があります。
• マルウェアのダウンロードと実行: この脆弱性により、PCにファイル（他のマルウェアを含む）がダウンロードされ、実行される可能性があります。Win32/Fareit、Win32/Gamarue、Win32/Upatre、Win32/Zbotなどのマルウェアファミリーの亜種がダウンロードされる事例が確認されています。
• システム状態の破損: 脆弱なActiveXコントロールがInternet Explorerで使用される際に、システム状態を破損させることで任意コード実行を許します。

1.2 深刻度

• CVSS v2.0: 9.3 (緊急)
• CVSS v3.1: 8.8 (高)
• Microsoftは、この脆弱性を「重大」と評価しています。

2. 対象となる環境

Microsoft Officeや開発ツールなど、複数のMicrosoftアプリケーションに同梱されているMSCOMCTL.OCXファイル内のActiveXコントロールが影響を受けます。

2.1 影響を受けるOSバージョン

特定のOSバージョンではなく、以下のMicrosoft製品が影響を受けます。 * Microsoft Office 2003 Service Pack 3 * Microsoft Office 2007 Service Pack 2およびService Pack 3 * Microsoft Office 2010 (32ビット版) (Service Pack 1を含む) * ※Microsoft Office 2010の64ビット版は影響を受けません。 * Microsoft Office 2003 Web コンポーネント Service Pack 3 * Microsoft SQL Server 2000 Service Pack 4 * Microsoft SQL Server 2005 Service Pack 4 * Microsoft SQL Server 2008 Service Pack 2、Service Pack 3、およびR2 (Service Pack 1を含む) * Microsoft BizTalk Server 2002 Service Pack 1 * Microsoft Commerce Server 2002 Service Pack 4 * Microsoft Commerce Server 2007 Service Pack 2 * Microsoft Commerce Server 2009 (R2を含む) * Visual FoxPro 8.0 Service Pack 1および9.0 Service Pack 2 * Visual Basic 6.0 Runtime

2.2 影響を受ける設定

影響を受けるアプリケーションで、MSCOMCTL.OCXファイル内のActiveXコントロール（ListView, ListView2, TreeView, TreeView2）が利用可能な状態であること。

3. 影響を受けた時の兆候

• 不審なウェブサイトへの訪問、あるいは不審なOfficeドキュメントや.rtfファイルの利用時に、システムが脆弱性を悪用しようとしている兆候が検出される場合があります。
• WordなどのOfficeアプリケーションが予期せず終了し、その後すぐに「無害な」おとりファイルを開いて再起動する現象が見られることがあります。
• システム上で見覚えのないファイルがダウンロードされたり、プログラムが実行されたりする。

4. 推奨対策

4.1 本対策

Microsoftが提供するセキュリティ更新プログラムMS12-027を適用してください。この更新プログラムは、脆弱なバージョンのWindowsコモンコントロールを無効化し、脆弱性を含まない新しいバージョンに置き換えることで、脆弱性を解消します。

4.2 暫定回避策（緩和策）

• 信頼できないソースからのファイルを開かない: 信頼できない送信元からのMicrosoft Officeドキュメントやリッチテキスト形式（.rtf）ファイル、または信頼できる送信元からの予期しないファイルは開かないでください。
• ActiveXコントロールの無効化: Internet Explorerで、脆弱なActiveXコントロール（MSCOMCTL.ListView、MSCOMCTL.ListView2、MSCOMCTL.TreeView、MSCOMCTL.TreeView2）のキルビットを設定することで、これらのコントロールがインスタンス化されるのを防ぐことができます。

参照したサイト

• CVE-2012-0158 - CVE Record
• 任意のコードが実行される脆弱性(MS12-027)(CVE-2012-0158)に関する検証レポート | 株式会社NTTデータ先端技術
• NVD-CVE-2012-0158 - NIST
• Win32/CVE-2012-0158 threat description - Microsoft Security Intelligence
• Microsoft Security Bulletin MS12-027 - Critical
• CVE-2012-0158 Exploit in the Wild | McAfee Blog
• Windows コモンコントロールに起因する任意コード実行の脆弱性（Scan Tech Report）
• CVE-2012-0158 | セキュリティNOW! サイバーセキュリティ情報ポータルサイト - SMS DataTech
• 任意のコードが実行される脆弱性 (MS12-027)(CVE-2012-0158)に関する検証レポート (※ と同一内容だが、PDFへの直接リンクも存在するため掲載)
• The (1) ListView, (2) ListView2, (3) TreeView, and (4)... · CVE-2012-0158 - GitHub
• Microsoft セキュリティ情報 MS12-027 - 重大
• Web Attack: Microsoft Common Controls CVE-2012-0158 - Broadcom Inc.
• [原创]CVE-2012-0158漏洞分析与复现 - 看雪论坛