CVE詳細 - CVE-2023-36563-

CVE-2023-36563 の詳細

CVEの情報

説明:
Microsoft WordPad Information Disclosure Vulnerability

CVE更新日: 2023-10-10 18:15:13.003000

CVSSバージョン: 3.1

CVSSスコア: 6.5

KEVの情報

KEV更新日: 2023-10-10

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.203180000

EPSS更新日: 2026-10-18 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2023-36563は、Microsoft WordPadに存在する情報漏えいの脆弱性です。この脆弱性は、悪用が確認されており、CISAの「既知の悪用されている脆弱性（Known Exploited Vulnerabilities：KEV）」カタログにも追加されています。

1. 脆弱性の概要

1.1 影響

この脆弱性は、特別に細工されたドキュメントを開くか、特別に細工されたファイルとユーザーが対話するように仕向けることで、攻撃者が標的システムからNTLMハッシュを漏えいさせることを可能にします。NTLMハッシュはWindowsシステムでユーザーパスワードが保存される暗号形式です。NTLMハッシュが漏えいすると、認証情報の窃取や、さらなるネットワーク侵害につながる可能性があります。この攻撃にはローカルアクセスとユーザーの操作が必要です。

1.2 深刻度

この脆弱性は中程度の深刻度と評価されており、CVSSスコアは5.5または6.5です（情報源によって異なります）。しかし、CISAのKEVカタログに掲載されており、実際の悪用が確認されているため、現実世界での脅威は高いとされています。 NVDのCVSSv3.1のベクトル文字列は「CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N」です。根本原因は、Microsoft WordPadアプリケーション内の不適切な入力検証（CWE-20）にあります。WordPadがリッチテキスト形式（RTF）ドキュメントを処理する際に、埋め込まれたOLE（Object Linking and Embedding）オブジェクトのサニタイズを適切に行わないため、攻撃者が制御するサーバーへのアウトバウンドSMB認証要求がトリガーされ、NTLMハッシュが漏えいします。

2. 対象となる環境

2.1 影響を受けるOSバージョン

広範囲のWindowsオペレーティングシステムが影響を受けます。具体的には以下のバージョンが含まれます。

Windows 10 (バージョン 1507, 1607, 1809, 21H2, 22H2)
Windows 11 (バージョン 21H2, 22H2)
Windows Server (2008 SP2, 2008 R2 SP1, 2012, 2012 R2, 2016, 2019, 2022)

2.2 影響を受ける設定

この脆弱性は、Microsoft WordPadアプリケーションに存在します。特に、WordPadでOleConvertOLESTREAMToIStorageおよびOleConvertOLESTREAMToIStorageEx関数が使用される際のOLEオブジェクト変換の脆弱性に関連しています。

3. 影響を受けた時の兆候

攻撃が成功すると、WordPadは攻撃者が制御するサーバーに対してアウトバウンドSMB認証要求を開始し、ユーザーのNTLM認証情報を漏えいさせます。このネットワークトラフィックは、通常、ユーザーが直接認識できるものではありませんが、セキュリティ監視ツールによって検出される可能性があります。

4. 推奨対策

4.1 本対策

Microsoftは、2023年10月の月例セキュリティ更新プログラム（Patch Tuesday）の一部として、この脆弱性に対処するセキュリティ更新プログラムをリリースしています。管理者は、使用しているWindowsのバージョンに応じた適切なセキュリティ更新プログラムを直ちに適用することが推奨されます。詳細なパッチ情報およびダウンロードリンクは、Microsoftの「セキュリティ更新プログラムガイド」で確認できます。

4.2 暫定回避策（緩和策）

Microsoftは、WordPadで使用されるOleConvertOLESTREAMToIStorageおよびOleConvertOLESTREAMToIStorageEx関数におけるリンクされたOLEオブジェクトの変換を無効にするためのレジストリキー設定を提供しています。このサブキーはオプションであり、システムによって自動的に作成されるものではありません。
CISAは、ベンダーの指示に従って緩和策を適用するか、利用可能な緩和策がない場合は影響を受ける製品の使用を中止することを推奨しています。
予防措置と包括的な脆弱性管理プログラムを実装することも推奨されます。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る