Trusted Design

CVE-2017-8759 の詳細

CVEの情報

説明:
Microsoft .NET Framework 2.0, 3.5, 3.5.1, 4.5.2, 4.6, 4.6.1, 4.6.2 and 4.7 allow an attacker to execute code remotely via a malicious document or application, aka ".NET Framework Remote Code Execution Vulnerability."

CVE更新日: 2017-09-13 01:29:12.193000

CVSSバージョン: 3.1

CVSSスコア: 7.8

KEVの情報

KEV更新日: 2021-11-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.886980000

EPSS更新日: 2026-10-20 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

本解説は、CVE-2017-8759に関する事実のみに基づいています。

1. 脆弱性の概要

CVE-2017-8759は、Microsoft .NET FrameworkにおけるSOAP WSDLパーサーのコードインジェクションの脆弱性です。この脆弱性を悪用することで、攻撃者はSOAP WSDL定義コンテンツの解析中に任意のコードを挿入し、実行することが可能になります。この脆弱性は、悪意のあるRTF（Rich Text Format）ドキュメントやアプリケーションを介してリモートでコードを実行される可能性があります。

1.1 影響

本脆弱性が悪用されると、リモートの攻撃者によって標的のシステム上で任意のコードが実行される可能性があります。これにより、攻撃者は脆弱なシステムを制御下に置き、任意のプログラムをダウンロードして実行したり、データを閲覧、変更、削除したり、完全なユーザー権限を持つ新しいアカウントを作成したりすることが可能になります。実際に、この脆弱性はFINSPY（FinFisherまたはWingBirdとしても知られる）というスパイウェアを配布するために悪用されたことが確認されています。

1.2 深刻度

CVSSv3の基本スコアは7.8で「重要」（High）と評価されています。CVSSv2の基本スコアは9.3で「危険」（Critical）と評価されています。この脆弱性は、攻撃者がネットワーク経由で攻撃を行うことが可能であり、ユーザーの関与が必要ですが、機密性、完全性、可用性への影響は高いとされています。また、CISA KEV（Known Exploited Vulnerabilities）カタログにも含まれており、積極的に悪用されている脆弱性として認識されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

Microsoft .NET Frameworkの以下のバージョンが影響を受けます。 * Microsoft .NET Framework 2.0 SP2 * Microsoft .NET Framework 3.5 * Microsoft .NET Framework 3.5.1 * Microsoft .NET Framework 4.5.2 * Microsoft .NET Framework 4.6 * Microsoft .NET Framework 4.6.1 * Microsoft .NET Framework 4.6.2 * Microsoft .NET Framework 4.7

2.2 影響を受ける設定

この脆弱性は、.NET FrameworkのWSDLパーサーモジュール内のPrintClientProxyメソッドにおけるコードインジェクションの欠陥に起因します。IsValidUrlがCRLFシーケンスを含むデータが提供された場合に正しい検証を実行しないため、攻撃者が任意のコードを挿入および実行できる可能性があります。悪意のあるRTFドキュメントの閲覧などを通じて、細工されたWSDLファイルを処理することで悪用されます。

3. 影響を受けた時の兆候

  • 悪意のあるWordドキュメントを開いた後に、不審なプロセス（例: PowerShellコマンドやVisual Basicスクリプトの実行）が開始される。
  • FINSPY（FinFisher/WingBird）などのスパイウェアがシステムにインストールされる。
  • システムパフォーマンスの低下、不審なネットワーク通信の発生。
  • Office 365 ATPやWindows Defender ATPを利用している場合、Exploit:RTF/Fitipol.A、Behavior:Win32/Fitipol.A、Exploit:RTF/CVE-2017-8759といった警告が検出される。

4. 推奨対策

4.1 本対策

4.2 暫定回避策（緩和策）

  • 不審なOfficeドキュメントを開かない: 不明な送信元からの電子メールに添付された、特にRTF形式やWordドキュメントのファイルは開かないように注意してください。
  • Officeの保護ビューモードを無効にしない: ユーザーが保護ビューモードを無効にしない限り、このエクスプロイトによるリスクを軽減できます。
  • Office 365 ATPおよびWindows Defender ATPの活用: これらの高度な脅威検知ソリューションを使用している場合、悪意のある添付ファイルが自動的にブロックされる可能性があります。
  • Windows Defender Exploit Guardの活用: Windows 10 Fall Creators Update以降に搭載されるWindows Defender Exploit GuardのAttack Surface Reduction (ASR) ルールとエクスプロイト保護機能も、この攻撃を防止できます。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る