Trusted Design

解説:

1. 脆弱性の概要

CVE-2017-11882は、Microsoft OfficeのEquation Editor（EQNEDT32.EXE）におけるリモートコード実行（RCE）の脆弱性です。この脆弱性は、メモリ内のオブジェクトの処理方法に不備があることによって引き起こされるメモリ破損（具体的にはスタックベースのバッファオーバーフロー）に起因します。攻撃者は、特別に細工されたOfficeドキュメント（例: .doc、.rtf、.xlam形式）をユーザーに開かせることで、この脆弱性を悪用します。Equation Editorは、2000年にコンパイルされた古いコンポーネントであり、最新のセキュリティ対策（DEPやASLRなど）が適用されていないため、悪用が容易になっています。また、Equation EditorはOfficeの主要コンポーネントから独立して動作するアウトオブプロセスCOMサーバーであるため、Office固有の保護が適用されない場合があります。

1.1 影響

この脆弱性が悪用されると、攻撃者は現在のユーザーのコンテキストで任意のコードを実行できます。これにより、システムの完全性および機密性が損なわれたり、マルウェア感染、データ窃取、またはネットワーク内でのさらなる悪用につながる可能性があります。

1.2 深刻度

CVE-2017-11882は、「高Severity (High Severity)」または「Critical (Critical)」なリモートコード実行の脆弱性として分類されています。 NISTのNVDによると、CVSS v3.0のスコアは「7.8 (High)」です。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は、Microsoft OfficeのEquation Editorに存在するため、Microsoft Windows上で動作する以下のMicrosoft Officeバージョンが影響を受けます。

• Microsoft Office 2007 Service Pack 3
• Microsoft Office 2010 Service Pack 2
• Microsoft Office 2013 Service Pack 1
• Microsoft Office 2016

2.2 影響を受ける設定

Equation Editor (EQNEDT32.EXE) は、2000年にコンパイルされたレガシーコンポーネントであり、現代のメモリ保護技術（データ実行防止(DEP)やアドレス空間配置のランダム化(ASLR)）を利用していません。これにより、スタックベースのバッファオーバーフローが悪用されやすくなっています。Equation EditorがアウトオブプロセスCOMサーバーとして動作するため、Officeのメインコンポーネントに適用されるEMETやWindows Defender Exploit Guardなどの保護がEQNEDT32.EXEには適用されない場合があります。

3. 影響を受けた時の兆候

システムがCVE-2017-11882の悪用を受けた場合の兆候としては、以下のようなものが挙げられます。

• Equation Editorを標的とするペイロードを含む疑わしいドキュメント。
• EQNEDT32.EXEの実行など、Officeドキュメントによって開始された異常なプロセス活動。
• Officeドキュメントによって開始された予期しないファイルのダウンロード。
• 既知の悪意あるコマンド＆コントロール（C2）ドメインへのDNSクエリや外部通信の監視。

4. 推奨対策

4.1 本対策

最も効果的な対策は、Microsoftが2017年11月にリリースしたセキュリティ更新プログラムを適用することです。

4.2 暫定回避策（緩和策）

パッチの適用がすぐにできない場合、以下の暫定的な回避策や緩和策が考えられます。

• レジストリを変更してEquation Editorを無効にする。
• 電子メールゲートウェイを保護する。
• システムおよびアプリケーションを最新の状態に保ち、パッチを適用する。レガシーシステムやサポート終了システムに対しては、仮想パッチを検討する。
• 最小権限の原則を徹底する。
• ネットワークセグメンテーションやデータ分類などのメカニズムでデータ漏洩のリスクを軽減する。
• 悪意のあるOfficeドキュメントのスキャンやプロセス作成の監視など、脅威ハンティングを実施する。
• エンドポイント検出応答（EDR）ツール、SIEMルール、およびエンドポイント監視を通じて、異常な活動がないかプロアクティブにネットワークを監視する。
• 評判の良いアンチウイルスソフトウェア、電子メールおよびウェブフィルタリングソリューション、IPS/IDSおよびファイアウォールソリューションを使用する。

他に解説すべき観点

• 継続的な悪用: CVE-2017-11882は、2017年のパッチリリースから数年が経過した現在でも、未だに積極的に悪用されている脆弱性です。これは、多くのシステムが未だにパッチが適用されていないか、サポートされていないOfficeバージョンを使用しているためと考えられます。
• 攻撃グループとマルウェア: この脆弱性は、APT28 (Fancy Bear)などの国家支援型サイバー攻撃グループだけでなく、LokiBot、Agent Tesla、Remcos、Formbook、ZBOT、Ursnif、VIPKeyLoggerなどの情報窃取マルウェアを配布するサイバー犯罪者によっても広く悪用されてきました。
• 攻撃手法: 攻撃者は主にスピアフィッシングキャンペーンを通じて、悪意のあるOfficeドキュメント（.doc、.rtf、.xlam）を配布し、ユーザーにこれらを開かせることで脆弱性を悪用します。

参照したサイト

• CVE-2017-11882 Vulnerability: Analysis, Impact, Mitigation | Huntress
• CVE-2017-11882 Exploited to Deliver a Loki Infostealer | Trend Micro (US)
• CVE-2017-11882 exploits still lead to malicious infections - Broadcom Inc.
• Analysis of CVE-2017-11882 Exploit in the Wild - Palo Alto Networks Unit 42
• Exploitation of Microsoft Office Vulnerability CVE-2017-11882 - NHS England Digital
• NVD-CVE-2017-11882 - NIST
• Exploiting CVE-2017-11882: Critical Microsoft Office Vulnerability Targeted by APTs
• CVE-2017-11882 - CVE Record
• Old Microsoft Office vulnerability CVE-2017-11882 actively being exploited in the wild
• Excel Document Delivers Multiple Malware by Exploiting CVE-2017-11882 – Part II - Fortinet
• Malware Families Attempting to Exploit Legacy Vulnerability (CVE-2017–11882) - Medium
• Abuse EQNEDT32.EXE CVE-2017-11882 - Anvilogic
• Response to CVE-2017-11882 - HPE Support Center
• CVE-2017-11882 is still being exploited | Kaspersky official blog
• Old MS Office vulnerability CVE-2017-11882 still leveraged for Agent Tesla delivery
• Top 10 Routinely Exploited Vulnerabilities - CISA
• Top Routinely Exploited Vulnerabilities - CISA