MicrosoftはWindows Defenderをリモートコード実行から保護： CVE-2018-0986
Microsoftは長年にわたり、Windows環境向けに、さまざまなセキュリティツールで構成されるアンチウイルスやアンチマルウェアスイートを開発してきました。しかし最近、Windows DefenderのサポートするWindowsおよびWindows Serverのすべてのバージョンで、 Windows Defenderの核となるMicrosoft Malware Protection Engine（mpengine.dll）に影響する重要な欠陥が発見されました。
Microsoftから、「Microsoft Malware Protection Engineで、細工されたファイルが適切にスキャンされない場合に、リモートでコードが実行されメモリー破壊につながる脆弱性が存在します。攻撃者は、この脆弱性を悪用してLocalSystemアカウントのセキュリティコンテキスト内で任意のコードを実行し、システムの制御権を獲得する可能性があります。それにより、攻撃者はプログラムをインストールしたり、データを表示、改ざん、削除したり、すべてのユーザー権限を備えた新しいアカウントを作成したりできます」との公式発表がありました。
影響の評価
デフォルトでは、すべてのWindows 10システム上でWindows Defenderのリアルタイム保護がオンになっています。したがって、Microsoft Malware Protection Engine（MMPE）がファイルを自動スキャンし、細工されたファイルがスキャンされた時点で、脆弱性の悪用につながります。MMPEコンポーネントでは、既定の動作としてすべての着信ファイルを自動スキャンするようになっているため、この欠陥を悪用するユーザー介入の余地はありません。しかし、リアルタイムスキャンが有効になっていなければ、攻撃者は脆弱性を悪用するために、スケジュールされたスキャンが実行されるのを待つことになります。この脆弱性はWindows DefenderをサポートするすべてのWindows製品に影響するため、悪用に成功した 攻撃者は、そこでプログラムをインストールしたり、データを表示、改ざん、削除したり、すべてのユーザー権限を備えた新しいアカウントを作成できます。
悪用
Microsoftは、Google Project ZeroのThomas Dullienが、 Windows DefenderとRARファイルの調査中にこの脆弱性を発見したと認めています。その査定の中でMicrosoftは、「この脆弱性を悪用するには、細工されたファイルを、MMPEの該当バージョンでスキャンすることが必要である」と述べています。
攻撃者は、MMPEによるスキャンを受ける場所に細工されたファイルを仕組んでおくことにより、さまざまな方法で脆弱性を利用する可能性があります。
- この脆弱性の悪用方法として最も一般的なものの1つは、Eメールメッセージまたはインスタントメッセンジャーのメッセージを送り、ファイルが開かれた時点でスキャンされることを利用するというものです。
- 攻撃者は、ユーザー提供のコンテンツをホスティングするWebサイトを利用し、MMPEがスキャンする共有場所にファイルをアップロードして、エクスプロイトを起動することが考えられます。
緊急措置が必要
セキュリティ上の重要なニーズとして、Microsoftの正規の月次セキュリティ更新のわずか1週間前に CVE-2018-0986用のパッチがリリースされています。多くの場合、該当製品に更新を自動デプロイするための組み込みツールが存在するため、管理者やエンドユーザーが更新プログラムをインストールする必要はありません。この更新プログラムを、Microsoft更新プロセスにより48時間以内にインストールする必要があります。しかし、脆弱性のエクスプロイトが容易であることを鑑みて、できるだけ早く更新プログラムをインストールすることをお勧めします。
システムがエンタープライズ更新システムによって制御されていない場合、Windows Defenderを開き、更新タブをクリックして更新プログラムを実行するだけで、新しいMMPEのダウンロード/インストールを手動で簡単に更新できます。システムが更新済みであることを確認するため、バージョンを下の図と比較してください。
影響を受けているシステムの特定
この脆弱性は、WindowsおよびWindows ServerのWindows Defenderサポートバージョンのすべてに影響します。
- Nessus プラグインID：108813 Desc: Microsoft Malware Protection Engine < 1.1.14700.5 RCE
詳細情報
- Microsoftセキュリティ更新
- CVEの詳細
- 最新のアタックサーフェスを総合的に管理する初のサイバーエクスポージャープラットフォーム、 Tenable.ioの詳細情報
- 今すぐTenable.io Vulnerability Managementの60日間無料トライアルをお試しください！
Steve Tilson
Rapid Response Manager
Steve Tilson is a Rapid Response Manager for Tenable's Research Lab. Tenable's Research Lab is a comprised of many highly talented engineers leading the Cyber Security Industry and Tenable's Cyber Exposure Process. Previously working as an Information Security Content Analyst on the SecurityCenter Research Team, he developed Dashboards and Reports for Security Center CV and Tenable's revolutionary Tenable.io Cyber Exposure platform. Before joining Tenable, Steve worked for Accenture as an IT Manager and Network Lead for North America for many years. As well, Steve has served as Director of Technology for Industrial fabrication and construction firms with multiple sites across the US. He has a extensive background in the architecture, maintenance, and management of large scale domains that include both network connectivity as well as all supporting systems on the local, national, and global scale.
関連記事
How To Harden GitLab Permissions with Tenable
If your organization uses GitLab for managing your software development lifecycle, you must ensure you’re not misconfiguring the permissions of this open source DevSecOps platform. Doing so can expose your source code, along with sensitive data, while creating security risks. In this blog, we’ll exp...
Do You Think You Have No AI Exposures? Think Again
As AI usage becomes more prevalent in organizations globally, security teams must get full visibility into these applications. Building a comprehensive inventory of AI applications in your environment is a first step. Read on to learn what we found about AI application-usage in the real world when w...
Never Trust User Inputs -- And AI Isn't an Exception: A Security-First Approach
As AI transforms industries, security remains critical. Discover the importance of a security-first approach in AI development, the risks of open-source tools, and how Tenable's solutions can help protect your systems....
- Plugins