Microsoft XML コアサービスに起因する 0-Day エクスプロイト（Scan Tech Report）

1.概要
Microsoft XML コアサービス (MSXML) にメモリ領域が破壊される脆弱性が報告されました。
ユーザが悪質な Web ページを閲覧した場合に、リモートの第三者によってシステム上で不正な操作が実行される可能性があります。
この脆弱性は、Google Security Team および Qihoo 360 Security Center が 2012/5 下旬に 0-Day エクスプロイトを悪用した標的型攻撃が行われているとMicrosoft に報告し、Microsoft が 2012/6/12 にセキュリティアドバイザリを公開した問題です。
既にこの脆弱性を悪用する攻撃が確認されており、攻撃を受ける可能性が高いことが考えられるため、対象のユーザは、Microsoft より解消パッチがリリースされるまでの間、可能な限り以下の回避策を実施し、今後の動向に注意することを推奨します。

2.深刻度(CVSS)
9.3
http://nvd.nist.gov/cvss.cfm?version=2&name=CVE-2012-1889&vector=%28AV%3AN/AC%3AM/Au%3AN/C%3AC/I%3AC/A%3AC%29

3.影響を受けるソフトウェア
Microsoft XML Core Services 3.0
Microsoft XML Core Services 4.0
Microsoft XML Core Services 5.0
Microsoft XML Core Services 6.0

※1 Windows OS に同梱される MSXML 3.0/4.0/6.0、Office 2003/2007 に同梱される MSXML 5.0 が、この脆弱性の影響を受けます。なお、MSXML はこれらのソフトウェアの他、多数の Microsoft 製品にも同梱されており、複数バージョンの MSXML がシステム上にインストールされている可能性があります。

4.解説
Microsoft XML コアサービス (MSXML) は、XML パーサ、DOM、SAX2、XSLT などの XMLに関する API を提供するライブラリ (msxml*.dll) であり、Internet Explorer (IE) や Office などの複数の Microsoft 製品において使用されています。

この MSXML には、MSXML DOM オブジェクトの取り扱いに不備があるため、IE を介して特定の MSXML API を呼び出す不正な Web ページを処理した場合に、初期化されていないメモリ領域上のオブジェクトにアクセスしてしまう脆弱性が存在します。

この脆弱性を利用することで、リモートの攻撃者は、IE を実行するユーザの権限で任意のコード実行が可能となります。

なお、Windows Server 2003, Server 2008, Server 2008 R2 上の IE においては、既定で、セキュリティ強化の構成と呼ばれる制限モードで実行されるため、脆弱性の影響は緩和されることが、Microsoft より報告されています。
また、Office 2010 は、この脆弱性の影響を受けないことも併せて報告されています。

Google によれば、悪質な Web サイトや Office ドキュメントを介してこの脆弱性を悪用する標的型攻撃を確認していると報告しています。

Microsoft XML vulnerability under active exploitation
http://googleonlinesecurity.blogspot.jp/2012/06/microsoft-xml-vulnerability-under.html
State-sponsored attackers using IE zero-day to hijack GMail accounts
http://www.zdnet.com/blog/security/state-sponsored-attackers-using-ie-zero-day-to-hijack-gmail-accounts/12462

5.対策
現時点 (2012/6/19) では、この脆弱性を解消する Microsoft Windows/Office 用のパッチはリリースされていません。
このため、セキュリティアドバイザリ 2719615 の回避策項目を参考に、下記のいずれかの回避策を実施することで、この脆弱性による影響を緩和または回避することが可能です。

マイクロソフトセキュリティアドバイザリ 2719615:
http://technet.microsoft.com/security/advisory/2719615

・Microsoft Fix it (Microsoft Fix it 50897) を適用する ※2
・Enhanced Mitigation Experience Toolkit (EMET) 3.0 を構成する ※3
・アクティブスクリプトの実行を変更する

※2
Microsoft 文書番号: 2719615
http://support.microsoft.com/kb/2719615
Security Research & Defense MSXML: Fix it before fixing it
http://blogs.technet.com/b/srd/archive/2012/06/13/msxml-fix-it-before-fixing-it.aspx

※3
EMET の最新バージョン EMET 3.0 を公開しました
http://blogs.technet.com/b/jpsecurity/archive/2012/05/17/3498449.aspx

6.ソースコード
（Web非公開）

（執筆：株式会社ラック　サイバー脅威分析センター）

※Web非公開該当コンテンツ閲覧をご希望の方はScan Tech Reportにご登録（有料）下さい。

Scan Tech Report
http://scan.netsecurity.ne.jp/archives/51916302.html