Trusted Design

解説:

CVE-2013-3896に関する調査結果を以下に解説します。

---

1. 脆弱性の概要

CVE-2013-3896は、Microsoft Silverlightにおける情報漏えいの脆弱性です。Silverlight要素へのアクセス時にポインターの検証が不適切であることに起因します。攻撃者は、巧妙に細工されたSilverlightアプリケーションをホストするウェブサイトをユーザーに閲覧させることで、この脆弱性を悪用し、機密情報を取得する可能性があります。

1.1 影響

この脆弱性は、リモートの攻撃者が影響を受けるシステムから機密情報を取得することを可能にします。漏えいする情報には、暗号鍵、セッショントークン、プロセスメモリに保存されているユーザー認証情報、またはアプリケーションのメモリレイアウトを明らかにする内部データ構造などが含まれる可能性があります。 このような情報は、アドレス空間配置のランダム化（ASLR）のバイパスや、他の脆弱性の確実な悪用を可能にするなど、多段階攻撃の重要な要素として利用されることがあります。

1.2 深刻度

CVE-2013-3896は情報漏えいの脆弱性として分類されています。 米国サイバーセキュリティ・社会基盤安全保障庁（CISA）は、この脆弱性が実際に悪用されていることを確認し、既知の悪用されている脆弱性カタログに含めています。 EPSS (Exploit Prediction Scoring System) のパーセンタイルは99.2%であり、最も活発に悪用されているCVEの一つであることを示しています。 ManageEngineによると、CVSS v2の基本スコアは5.5（MEDIUM）ですが、HOL Guard CVEでは「High severity（高深刻度）」とされています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は、Microsoft Silverlight 5 バージョン 5.1.20913.0 より前のバージョンに影響を与えます。 直接OSに影響するものではなく、OS上で稼働するSilverlightランタイム環境が影響を受けます。

2.2 影響を受ける設定

Microsoft Silverlight 5 バージョン 5.1.20913.0 未満がインストールされている環境が対象です。攻撃の成立には、ユーザーが特別に細工されたSilverlightアプリケーションを含むウェブページにアクセスする、というユーザーインタラクションが必要です。

3. 影響を受けた時の兆候

情報漏えい型の脆弱性であるため、この脆弱性が悪用された際にユーザーが直接的に確認できる兆候は、一般的には不明です。多くの場合、情報漏えいはシステム上で目に見える異常を伴わずに発生します。

4. 推奨対策

4.1 本対策

Microsoftから提供されているセキュリティ更新プログラム「Microsoft Security Bulletin MS13-087」を適用することです。 この更新プログラムは、Microsoft Silverlightが特定のSilverlight要素にアクセスする際のメモリポインターのチェック方法を修正することで、脆弱性に対処します。 これにより、Silverlightの以前のバージョンがバージョン 5.1.20913.0 にアップグレードされ、脆弱性が解消されます。

4.2 暫定回避策（緩和策）

• Enhanced Mitigation Experience Toolkit (EMET) がインストールされ、影響を受けるソフトウェアで動作するように構成されている場合、この脆弱性の軽減に役立つ可能性があります。
• 信頼できないウェブサイトへのアクセスを避けることが、悪意のあるSilverlightアプリケーションへの曝露を防ぐ上で有効です。

参照したサイト

• CVE-2013-3896 - Microsoft Silverlight Information Disclosure Vulnerability | turingsecure
• CVE-2013-3896 - CVE Record
• NVD-CVE-2013-3896 - NIST
• CVE-2013-3896 - ManageEngine
• CVE Program Container (CVE-2013-3896) | HOL Guard CVE
• Microsoft Security Bulletin MS13-087 - Important
• CVE Cross Reference 2013