Trusted Design

解説:

CVE-2012-1889は、Microsoft XML Core Servicesにおけるメモリ破壊の脆弱性であり、リモートからのコード実行やサービス拒否を引き起こす可能性があります。この脆弱性は、悪意のある細工が施されたWebサイトをユーザーが閲覧することで悪用される可能性があります。

1. 脆弱性の概要

1.1 影響

この脆弱性が悪用されると、リモートの攻撃者が任意のコードを実行したり、メモリ破損によってサービス拒否（Denial of Service）を引き起こしたりする可能性があります。攻撃ベクトルはネットワークベースであり、ユーザーが細工されたWebサイトを閲覧するなどの操作が必要です。機密性、完全性、可用性への影響は高いと評価されています。

1.2 深刻度

CVSSv2スコアは8.8で、深刻度は「高」と分類されています。 この脆弱性は実際に悪用が確認されており、CISAの既知の悪用されている脆弱性（KEV）カタログにも追加されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は、Microsoft XML Core Servicesの以下のバージョンを含む、さまざまなMicrosoft Windowsオペレーティングシステムに影響を与えます。 * Windows XP Service Pack 3 * Windows XP Professional x64 Edition Service Pack 2 * Windows Vista * Windows 7 (32-bit および x64、Service Pack 1を含む) * Windows Server 2003 * Windows Server 2008 (Service Pack 2、Itaniumベースシステムを含む) * Windows Server 2008 R2 (x64、Service Pack 1、Itaniumベースシステムを含む) Server Coreインストールも影響を受けます。

2.2 影響を受ける設定

以下のMicrosoft XML Core Servicesのバージョンが影響を受けます。 * Microsoft XML Core Services 3.0 * Microsoft XML Core Services 4.0 * Microsoft XML Core Services 5.0 * Microsoft XML Core Services 6.0

また、以下のMicrosoft Office製品もXML Core Services 5.0を介して影響を受けます。 * Microsoft Office 2003 Service Pack 3 * Microsoft Office 2007 Service Pack 2 および Service Pack 3

3. 影響を受けた時の兆候

この脆弱性によってシステムが侵害された場合、コンピュータが乗っ取られる可能性があります。攻撃によって新たな悪意のあるファイルがダウンロードおよび実行されることで、他のマルウェアが検出される兆候が見られることがあります。 また、Internet Explorerがクラッシュする可能性もあります。

4. 推奨対策

4.1 本対策

Microsoftから提供されているセキュリティ更新プログラムを適用することが最も推奨される対策です。 具体的には、Microsoft Security Bulletin MS12-043 がこの問題に対処するために発行されています。この更新プログラムは、MSXMLがメモリ内のオブジェクトを初期化する方法を変更することで脆弱性に対処します。

4.2 暫定回避策（緩和策）

直ちにパッチを適用できない場合、以下の暫定的な回避策（緩和策）を検討してください。 * Microsoftから提供されている「Fix it」ソリューションを適用する。 * Enhanced Mitigation Experience Toolkit (EMET) を使用する。 * Internet Explorerのインターネットゾーンおよびイントラネットゾーンで、アクティブスクリプトの実行前にダイアログを表示するように構成するか、アクティブスクリプトを無効にする。 * 露出を制限するために、設定の強化やネットワーク制御を実装する。 * システムにおける異常な動作を継続的に監視する。

他に解説すべき観点

脆弱性の種類

この脆弱性は、初期化されていないメモリ領域へのアクセス（CWE-787）またはUse-after-freeの脆弱性に分類されます。 Microsoft XML Core Servicesが、初期化されていないXMLノードにget_definition APIコールを使用してアクセスしようとする際にメモリ破損が発生し、リモートコード実行につながる可能性があります。 攻撃者はヒープスプレー技術を利用してスタック値を変更し、シェルコードを実行する可能性があります。

悪用状況

この脆弱性は公開されており、悪用コードが確認されています。 また、Metasploit Frameworkでエクスプロイトが公開されているため、活発に悪用されている状態です。

参照サイト

• CVE-2012-1889 | High Vulnerability in Microsoft XML Core Services - Appsecure Security
• CVE2012-1889: MSXML use-after-free vulnerability - WeLiveSecurity
• CVE-2012-1889 Report - Details, Severity, & Advisories | Twingate
• Exploit:Win32/CVE-2012-1889.A threat description - Microsoft Security Intelligence
• NVD-CVE-2012-1889 - NIST
• Microsoft XML Core Services（MSXML）におけるメモリ破壊により、任意のコードが実行される脆弱性（CVE-2012-1889）に関する検証レポート
• MSXMLの脆弱性を狙うゼロデイ攻撃に注意 － ＠IT - ITmedia
• CVE-2012-1889 Is Still Alive! - Zscaler, Inc.
• 2012 年 7 月の Microsoft セキュリティ情報の概要
• Microsoft Security Bulletin MS12-043 - Critical
• 「CVE-2012-1889」を悪用する攻撃についてテクニカルレポートを公開（トレンドマイクロ）
• CVE-2012-1889 Microsoft XML vulnerability - Samples and Analysis by Brian Mariani and Frédéric Bourla - contagio
• Microsoft Security Advisory 2719615
• JVNDB-2012-002694 - JVN iPedia - 脆弱性対策情報データベース