Trusted Design

CVE-2023-36884 の詳細

CVEの情報

説明:
Windows Search Remote Code Execution Vulnerability

CVE更新日: 2023-07-11 19:15:09.623000

CVSSバージョン: 3.1

CVSSスコア: 7.5

KEVの情報

KEV更新日: 2023-07-17

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.989320000

EPSS更新日: 2026-10-19 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2023-36884に関する脆弱性調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2023-36884は、Microsoft OfficeおよびWindows HTMLのリモートコード実行（RCE）の脆弱性です。攻撃者は、特別に細工されたMicrosoft Officeドキュメント（例: .docxや.rtfファイル）を介して、被害者のコンテキストで任意のコードを実行することができます。この脆弱性は競合状態（CWE-362）に起因しており、ユーザーの操作（悪意のあるドキュメントを開くこと）を必要とします。

1.1 影響

この脆弱性が悪用されると、攻撃者はユーザーの権限で任意のコードを実行できるようになります。これにより、認証情報の窃取、ラテラルムーブメント、ランサムウェアの展開などが可能となり、機密性、完全性、可用性が著しく損なわれる可能性があります。

1.2 深刻度

Microsoftはこの脆弱性を「重要」として評価しています。 CVSS v3の基本スコアは7.5（重要）です。 CISA（サイバーセキュリティ・インフラセキュリティ庁）は、この脆弱性を既知の悪用されている脆弱性カタログに追加しており、実際に活発な悪用が確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

以下のMicrosoft Windowsクライアントおよびサーバーエディションが影響を受けます。

  • Microsoft Windows 10 (バージョン 1507, 1607, 1809, 21H2, 22H2)
  • Microsoft Windows 11 (バージョン 21H2, 22H2)
  • Microsoft Windows Server 2008 SP2, 2008 R2 SP1, 2012, 2012 R2, 2016, 2019, 2022

2.2 影響を受ける設定

  • Microsoft Office (バージョン 2304より前のもの)
  • Microsoft Word 2013 SP1 (バージョン 15.0.4569.15063)
  • Microsoft Word 2016 (バージョン 16.01)
  • Windows Search機能および、リモートコンテンツを参照する特殊なOfficeドキュメントの処理に関連しています。

3. 影響を受けた時の兆候

  • Trojan.W97M.CVE20170199.PFKNO、Trojan.W97M.CVE202336884.YEDGL、Backdoor.Win64.ROMCOM.YEDD1といった既知の悪用に関連するトロイの木馬やバックドアの検出。
  • RomComバックドアやUndergroundランサムウェアのインストールといった、悪用後の活動。
  • OfficeアプリケーションまたはWindows Searchから、攻撃者が制御するインフラストラクチャへの異常なアウトバウンド接続。
  • ウクライナ世界会議に関連する地政学的なルアー（誘い文句）を含む、悪意のある.docxまたは.rtfファイルの検出。

4. 推奨対策

4.1 本対策

  • 2023年8月8日にリリースされたMicrosoftのセキュリティ更新プログラムを適用してください。このアップデートには、悪用チェーンを阻止するためのOfficeの多層防御アップデートが含まれています。
  • Microsoft 365 Appsのバージョン2302以降は、この脆弱性から保護されています。

4.2 暫定回避策（緩和策）

（これらは主に2023年8月のパッチがリリースされる前の対策です）

  • Microsoft Defender for Office 365を利用する。
  • すべてのOfficeアプリケーションによる子プロセスの作成をブロックする攻撃対象領域削減（ASR）ルールを使用する。
  • 以下のOfficeアプリケーションに対し、FEATURE_BLOCK_CROSS_PROTOCOL_FILE_NAVIGATIONというレジストリキーを1（REG_DWORDタイプ）に設定します。これにより、クロスプロトコルナビゲーションが防止されます。
    • Excel.exe
    • Graph.exe
    • MSAccess.exe
    • MSPub.exe
    • Powerpnt.exe
    • Visio.exe
    • WinProj.exe
    • Word.exe
    • 注意点: このレジストリ設定は、アプリケーションの特定の利用例で通常の機能に影響を与える可能性があります。
  • 特定のIPアドレスおよびドメインのIoC（侵害の痕跡）をカスタムレピュテーションブロックリストに追加する。
  • 感染したマシンを隔離し、悪意のあるファイルを削除する。

他に解説すべき観点

  • この脆弱性は、2023年7月時点で活発に悪用されていたゼロデイ脆弱性でした。
  • RomCom（Storm-0978、DEV-0978）として知られる脅威アクターグループが、欧州および北米の政府機関や防衛関連組織を標的とした攻撃でこの脆弱性を悪用しました。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る