Trusted Design

CVE-2019-1429 の詳細

CVEの情報

説明:
A remote code execution vulnerability exists in the way that the scripting engine handles objects in memory in Internet Explorer, aka 'Scripting Engine Memory Corruption Vulnerability'. This CVE ID is unique from CVE-2019-1426, CVE-2019-1427, CVE-2019-1428.

CVE更新日: 2019-11-12 19:15:14.770000

CVSSバージョン: 3.1

CVSSスコア: 7.5

KEVの情報

KEV更新日: 2021-11-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.772900000

EPSS更新日: 2026-10-20 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2019-1429に関する調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2019-1429は、Internet Explorerのスクリプティングエンジンにおけるメモリ破損の脆弱性です。具体的には、「Scripting Engine Memory Corruption Vulnerability（スクリプティングエンジンメモリ破損の脆弱性）」として知られています。この脆弱性は、スクリプティングエンジンがメモリ内のオブジェクトを処理する方法に存在し、リモートコード実行 (RCE) を引き起こす可能性があります。この脆弱性は、Jscriptエンジンのガベージコレクションメカニズムが参照されているオブジェクトを完全に追跡できないことによる、Use-After-Free（解放済みメモリ使用）の脆弱性として説明されています。

1.1 影響

本脆弱性が悪用された場合、攻撃者は現在のユーザーのコンテキストで任意のコードを実行する可能性があります。これにより、攻撃者は現在のユーザーと同じアクセス権限を取得します。

  • 機密性への影響 (Confidentiality Impact): 高 / 全面的 (HIGH / COMPLETE)
  • 完全性への影響 (Integrity Impact): 高 / 全面的 (HIGH / COMPLETE)
  • 可用性への影響 (Availability Impact): 高 / 全面的 (HIGH / COMPLETE)

1.2 深刻度

  • CVSS v3.1基本評価値: 7.5 (High)
  • CVSS v3ベクトル: AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
    • 攻撃元区分 (Attack Vector): ネットワーク (Network)
    • 攻撃条件の複雑さ (Attack Complexity): 高 (High)
    • 必要な特権レベル (Privileges Required): 不要 (None)
    • ユーザー関与 (User Interaction): 必要 (Required)
    • 影響範囲 (Scope): 変更なし (Unchanged)
    • 機密性への影響 (Confidentiality): 高 (High)
    • 完全性への影響 (Integrity): 高 (High)
    • 可用性への影響 (Availability): 高 (High)
  • Juniper Networksは、この脆弱性の深刻度を「Major」と評価しています。
  • CISAのKnown Exploited Vulnerabilitiesカタログに登録されており、実環境での悪用が確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は、Microsoft Internet Explorerに影響を与えます。NVDには、Internet Explorerを搭載している多数のWindowsバージョンが影響を受けると記載されており、以下のようなものが含まれます:

  • Microsoft Windows 10 (各バージョン、32-bit/x64/ARM64 Systems)
  • Microsoft Windows 7 (32-bit/x64 Systems SP1)
  • Microsoft Windows 8.1 (32-bit/x64 Systems)
  • Microsoft Windows RT 8.1
  • Microsoft Windows Server 2008 (R2 SP1 x64)
  • Microsoft Windows Server 2012 (R2)
  • Microsoft Windows Server 2016
  • Microsoft Windows Server 2019

具体的なCPEリストは、NVDのCVE-2019-1429詳細ページを参照してください。

2.2 影響を受ける設定

本脆弱性は、Internet Explorerのスクリプティングエンジンに存在します。攻撃者は、悪意のあるWebサイトを作成したり、IEレンダリングエンジンを持つアプリケーションやOfficeファイルに「初期化安全」とマークされたActiveXコントロールを埋め込んだりすることで、この脆弱性を悪用する可能性があります。ユーザーが細工されたWebページを閲覧するなど、ユーザー操作が必要となります。

3. 影響を受けた時の兆候

このCVEに特化した明確な「影響を受けた時の兆候（IoC）」は公開情報には記載されていません。一般的にはリモートコード実行に繋がるものですが、具体的なシステムレベルでの兆候は不明です。

4. 推奨対策

4.1 本対策

  • ベンダーによるアップデートの適用: Microsoftが提供するセキュリティアップデートを適用することが強く推奨されます。この脆弱性は既に公開されており、実環境での悪用が確認されているため、迅速なパッチ適用が重要です。
  • MicrosoftはInternet Explorer向けの修正を含むアップデートをリリースしています。このパッチにより、jscript.dllのScavengeRoots関数が変更され、以前無視されていた特定のタイプのオブジェクト（0x400C）が適切に処理されるようになり、Use-After-Freeの問題が解決されました。

4.2 暫定回避策（緩和策）

  • 適切な特権管理: 攻撃者は現在のユーザーと同じアクセス権限しか得られないため、適切な特権管理（最小特権の原則）を実装することで、脆弱性が悪用された場合でもシステムへの影響を軽減できます。
  • セキュリティ意識向上トレーニング: フィッシングやユーザーを狙った一般的な攻撃手法に関するセキュリティ意識向上トレーニングを実施することで、本脆弱性が悪用されるリスクをさらに低減できます。

他に解説すべき観点

  • この脆弱性は、2021年11月3日にCISAの「Known Exploited Vulnerabilities Catalog」に追加され、実環境での悪用が確認されています。
  • CVE-2019-1429は、CVE-2019-1426、CVE-2019-1427、CVE-2019-1428とは異なる、個別の脆弱性です。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る