各位

JPCERT-AT-2020-0004
JPCERT/CC
2020-01-19(新規)
2020-02-12(更新)

JPCERT/CC Alert 2020-01-19

Microsoft Internet Explorer の未修正の脆弱性 (CVE-2020-0674) に関する注意喚起

https://www.jpcert.or.jp/at/2020/at200004.html


I. 概要2020年1月17日 (米国時間)、マイクロソフトから Microsoft Internet Explorerの脆弱性 (CVE-2020-0674) に関する情報が公開されました。脆弱性を悪用された場合、リモートからの攻撃によって任意のコードが実行される恐れがあります。マイクロソフトによると、本脆弱性の悪用を確認しているとのことです。

Microsoft
ADV200001 | Microsoft Guidance on Scripting Engine Memory Corruption Vulnerability
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV200001

また、本脆弱性の悪用を目的とし、第三者がユーザを悪意のあるサイトへ接続させたり、加工した Microsoft Office 文書などを実行させたりする攻撃が行われる可能性があります。対策や回避策を適用するまでは、不審なサイトへの接続やファイルの実行をしないよう、普段以上に注意を高めることを推奨します。

** 更新: 2020年1月24日追記 ****************
JPCERT/CC では、国内に対する本脆弱性を悪用したとみられる攻撃を確認しました。対象となる製品の利用者は、「III. 対策」及び「IV. 回避策」を参照し、本脆弱性への対策を検討・実施することを推奨します。
**************************************************

II. 対象対象となる製品とバージョンは次のとおりです。

- Microsoft Internet Explorer 9
- Microsoft Internet Explorer 10
- Microsoft Internet Explorer 11


III. 対策2020年1月19日 (日本時間) 時点で、本脆弱性への対策は提供されていません。「IV. 回避策」の適用をするか、別の Web ブラウザの使用を検討してください。

なお、マイクロソフトは既に本脆弱性の修正を進めており、月次セキュリティ更新プログラムのタイミングなどで、本脆弱性の修正を含む更新プログラムを提供予定とのことです。マイクロソフトが提供する情報を確認し、修正されたバージョンが公開された場合、速やかに適用することを推奨します。

** 更新: 2020年2月12日追記 ****************
2020年2月11日 (米国時間)、本脆弱性の修正を含むセキュリティ更新プログラムが公開されました。

マイクロソフト株式会社
CVE-2020-0674 | スクリプト エンジンのメモリ破損の脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2020-0674

なお、本脆弱性の回避策を既に適用している場合、セキュリティ更新プログラムを適用する前に、回避策として適用した設定を元に戻す必要があるとのことです。詳細は、マイクロソフトが提供する情報を参照してください。
**************************************************


IV. 回避策マイクロソフトより、本脆弱性の回避策が公開されています。マイクロソフトによると本脆弱性は、JScript のスクリプトエンジンにおけるメモリ破損の脆弱性に関するものであり、jscript.dll へのアクセス権限を制限することで、脆弱性の影響を回避することができるとのことです。IE11、IE10、IE9 は、本脆弱性の影響を受けない jscript9.dll がデフォルトで使用されますが、古いバージョンの JScript をサポートするために jscript.dllが提供されています。回避策を実施することで、jscript.dll の使用を制限すると、古いバージョンの JScript を使用する Web サイトや文書ファイルの閲覧に影響が生じる可能性が考えられます。回避策の適用にあたっては、十分に影響範囲を考慮の上、実施してください。


V. 参考情報
Microsoft
ADV200001 | Microsoft Guidance on Scripting Engine Memory Corruption Vulnerability
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV200001

US-CERT
Microsoft Releases Security Advisory on Internet Explorer Vulnerability
https://www.us-cert.gov/ncas/current-activity/2020/01/17/microsoft-releases-security-advisory-internet-explorer

CERT/CC Vulnerability Note VU#338824
Microsoft Internet Explorer Scripting Engine memory corruption vulnerability
https://kb.cert.org/vuls/id/338824/


今回の件につきまして提供いただける情報がございましたら、JPCERT/CC までご連絡ください。

________
改訂履歴
2020-01-19 初版
2020-01-24 「I. 概要」の修正
2020-02-12 「III. 対策」の追記

==============================
一般社団法人 JPCERT コーディネーションセンター 早期警戒グループ
TEL: 03-6811-0610 MAIL: ew-info@jpcert.or.jp