グーグル、「IE」の脆弱性が依然として悪用されている実態を明らかに

今回は「グーグル、「IE」の脆弱性が依然として悪用されている実態を明らかに」についてご紹介します。

関連ワード (セキュリティ等) についても参考にしながら、ぜひ本記事について議論していってくださいね。

本記事は、ZDNet Japan様で掲載されている内容を参考にしておりますので、より詳しく内容を知りたい方は、ページ下の元記事リンクより参照ください。


 Googleは米国時間12月7日、Microsoftが11月の月例セキュリティパッチ「Patch Tuesday」で対処した興味深いゼロデイ脆弱性について、より詳しい情報を公開した。

 共通脆弱性識別子として「CVE-2022-41128」が割り当てられたこのリモートコード実行(RCE)の脆弱性は、「Windows」上で稼働するJavaScriptスクリプティング言語の1つである「JScript9」に潜んでいたものだ。JScript9は「Internet Explorer 11」(IE 11)のJavaScriptエンジンとして採用されていたため、この脆弱性は「Windows 7」から「Windows 11」、そして「Windows Server 2008」から「Windows Server 2022」に影響を与えるものとなっている。

 MicrosoftはIE 11のサポートを6月15日に終了しており、「Microsoft Edge」の「IEモード」を使用するようユーザーに勧めている。しかしGoogleによると、IEに存在するこの種の脆弱性の悪用が続いているという。というのも、JScript9エンジンが依然として「Office」に統合されているためだ。

 では、レガシーなIE 11に存在するこの新たなエクスプロイトの背後にいる攻撃アクターとは誰なのだろうか。

 Googleの脅威分析グループ(TAG)のメンバーであるClement Lecigne氏(Microsoftに同脆弱性を報告した人物でもある)とBenoit Sevens氏によると、IEに対する今回のエクスプロイトを生み出したのは北朝鮮の脅威アクター「APT37」だという。

 TAGが説明しているように、OfficeはHTMLコンテンツの描画にIEを使用するため、この攻撃者らは同エクスプロイトをOffice文書に潜ませて配布していた。OfficeがHTMLやウェブコンテンツを描画する際、デフォルトブラウザーが「Google Chrome」に設定されていたとしても、IEのエンジンがデフォルトで用いられる。Officeを介してIEのエクスプロイトを配布するというこのような手口は、2017年の登場以来続いている。

 両氏は「このベクターを介してIEのエクスプロイトを配布する場合、標的側がデフォルトブラウザーとしてIEを使用していなくてもよく、また攻撃側が強化された保護モード(EPM)によるサンドボックスからの脱出エクスプロイトを併用しなくても済むという利点がある」と同社ブログに記している。

 また両氏は、この脆弱性が「CVE-2021-34480」とよく似ているとも記している。同脆弱性はGoogleのセキュリティチーム「Project Zero」が2021年に発見した、IE 11のJITコンパイラーに潜んでいたものであり、同チームの分析によると今回の脆弱性もIEのJITコンパイラーに端を発しているという。

 同チームの研究者であるIvan Fratric氏は当時、MicrosoftによるIE 11のサポートが終了しているとはいえ、IE(すなわちIEのエンジン)は他の製品、特に同社のOffice製品に統合され続けていると指摘していた。Fratric氏は、こういった統合が依然として存在しているため、攻撃者によるこの種の脆弱性の悪用がいつまで続くのか分からないとしていた。

COMMENTS


Recommended

TITLE
CATEGORY
DATE
LayerX、法人支出管理サービスで請求書の受取・スキャン代行サービスを開始
IT関連
2022-09-21 04:35
メンタルヘルスの服薬管理に特化したテレヘルス管理プラットフォーム「Minded」が約28.7億円を調達
IT関連
2022-02-24 01:50
USJ、初の「鬼滅の刃」アトラクション “水の呼吸”全身で体感
くらテク
2021-06-29 16:43
パーソルP&T、DX・デジタル人材育成の傾向を発表–「実践的な学び」が不可欠
IT関連
2022-12-15 01:50
ドコモ、「LiDAR」活用のアライアンス設立 “点群データバンク”の構築と利用シーン検討
企業・業界動向
2021-06-16 16:32
平井大臣、COCOAに苦言 「出来のいいアプリではなかった」「発注にも問題あった」
企業・業界動向
2021-02-11 14:30
2021年もコロナ関連で給付金や経済刺激策を標的としたサイバー犯罪が増加と予測–クラウドストライク
IT関連
2021-04-20 08:22
ゲーミング光回線が登場 「通信遅延の“負け”はなくなる」
くらテク
2021-05-21 23:06
アップルがポッドキャストに有名人が推薦する番組を紹介する「Listen With」コレクションを導入
IT関連
2022-01-21 23:26
「活用できるデータの種類・量・品質」がビジネス成果獲得の最重要要因–ガートナー調査
IT関連
2021-06-14 02:05
クッキーレス時代に備えよ–アドビ、「Real-time CDP」を発表
IT関連
2021-04-30 00:47
ロシア、国内でのフェイスブックへのアクセスを部分的に制限すると発表
IT関連
2022-02-27 15:33
8割の企業で、過去1年以内に深刻なセキュリティインシデントが発生—Snyk調査
IT関連
2022-09-17 03:37
ウエルシア薬局、人事・労務の社内対応にAIチャットボットを活用–問い合わせ件数を70%削減
IT関連
2022-11-18 11:59