InternetExplorerのゼロデイ（CVE-2014-1776）をまとめてみた

概要

Microsoftが2014年4月27日、InternetExplorerの脆弱性情報を公開しました。FireEyeによればこの脆弱性を悪用する標的型攻撃を確認しており、同社では「Operation Clandestine Fox.」と名前を付けています。既に子の脆弱性を修正するプログラムが公開されています。ここではIEのゼロデイに関係する情報をまとめます。

Microsoftの公開情報

脆弱性による影響やその対象、攻撃シナリオの詳細は以下を参照。

脆弱性識別情報

CVE-2014-1776の影響対象

Microsoftによれば現在サポートされている全てのIEが影響を受けますが、FireEyeが確認しているExploitはIE9以降が対象となっています。WindowsOSやシステムの種類(32/64bit)について、詳細は明らかにされていません。

InternetExplorer	CVE-2014-1776の影響有無	Windows XP	Windows 7	Windows 8	悪用グループ
IE6	影響有り	−	−	−	−
IE7	影響有り	−	−	−	−
IE8	影響有り	攻撃を確認	−	−	Operation Clandesitne Foxとは別グループ
IE9	影響有り	−	攻撃を確認	攻撃を確認	Operation Clandesitne Fox
IE10	影響有り	−	攻撃を確認	攻撃を確認	Operation Clandesitne Fox
IE11	影響有り	−	攻撃を確認	攻撃を確認	Operation Clandesitne Fox

尚、WindowsXPはサポートが終了しているために、XP上のIEが影響を受けるかはセキュリティアドバイザリでは言及されていません。しかし、その後Symantecの調査によりWindowsXP上のIEも脆弱性の影響を受けることが明らかになりました。*1
またFireEyeによりWindowsXPを対象にした攻撃が確認されています。

悪用事例に関する情報

Operation Clandestine Fox、および別グループによる攻撃

FireEyeがCVE-2014-1776を悪用する標的型攻撃を報告しています。
New Zero-Day Exploit targeting Internet Explorer Versions 9 through 11 Identified in Targeted Attacks | FireEye Blog

またFireEyeがCVE-2014-1776を悪用する複数のグループによる攻撃を確認したと報告しています。

“Operation Clandestine Fox” Now Attacking Windows XP Using Recently Discovered IE Vulnerability | FireEye Blog

分かる範囲で簡単にまとめると次の通り。
- 諸事情により具体的な対象となった組織、時期については明らかにされていない。
- 今回の攻撃は過去にFirefoxなどのブラウザの0dayを使って標的型攻撃を行っているグループである。
- 報告を装ったフィッシングメールが利用された。
- 米国の防衛・金融関係の組織が標的となった。*2
- その後、政府・エネルギー系の業種へ攻撃対象が拡大している。

検体名

ベンダ	検知名
Symantec	Bloodhound.Exploit.552
Avira	EXP/CVE-2014-1776
ESET	Win32/Exploit.CVE-2014-1776
Sophos	Troj/SWFExp-CV
Microsoft	Exploit:SWF/CVE-2014-1776
TrendMicro	SWF_EXPLOYT.OCF

検体情報

SHA256:00db30d185678bacc8f3fa12f6a642ca923d93219a9447b448e0e1e1c97b2c69
- Virustotal
- malwr
- test - cve-2014-1776(debug)
- debug CVE-2014-1776
- Yara

rule exploited_CVE_2014_1776 : WER CVE20141776
{
　meta:
　　author = "MalwrSignatures"
　　date = "2014/05/01"
　　description = "Detects a Internet Explorer Crash Report suspected to be caused by CVE-2014-1776"
　　ref = "http://community.websense.com/blogs/securitylabs/archive/2014/04/28/cve-2014-1776-using-crash-reports-to-find-possible-exploited-vulnerabilities.aspx"
　　filetype = "wer"
　strings:
　　$exec = /Sig\[[0-9]+\]\.Name=Application Name[\n\r]+Sig\[[0-9]+\]\.Value=iexplore\.exe/ wide nocase
　　$modu = /Sig\[[0-9]+\]\.Name=Fault Module Name[\n\r]+Sig\[[0-9]+\]\.Value=VGX\.DLL/ wide nocase
　　$time = /EventTime=13[89]/ wide nocase
　condition:
　　all of them
}
http://pastebin.com/raw.php?i=jebp9aUs

SHA256:0ea7194adb57783ee97e228237f21b0426d7cb467550e747c805ad1de4377295
- Virustotal

対策

2014年5月2日、Microsoftより緊急にて更新プログラムMS14-021が公開されました。当該プログラムをインストールすることで脆弱性が修正されます。またサポートが終了しているWindowsXPに対しても更新プログラムが公開されました。

マイクロソフトセキュリティ情報 MS14-021 - 緊急 Internet Explorer 用のセキュリティ更新プログラム (2965111)

MS14-021インストールにあたっての注意点

MS14-018が必要となるため、MS14-021インストール前にMS14-018がインストールされている確認する。
WindowsXP、Windows 8.1RTにも更新プログラムが公開されている。
IE11を利用している場合、二種類のMS14-021が存在する。

IE11を動かすOS	インストール対象の更新プログラム
Windows 7 Windows Server 2008 R2 に2929437更新プログラムをインストール済みの場合	2964358 セキュリティ更新プログラム
Windows 8.1 Windows Server 2008 R2 Windows RT 8.1 に2919355 更新プログラムをインストール済みの場合	2964358 セキュリティ更新プログラム
それ以外の場合	2964444 セキュリティ更新プログラム

回避策をとっていた場合の対応

なお、一部の回避策の行っていた場合は更新プログラムをインストールする前に、事前に解除を行っておく必要があります。

回避策	更新プログラムインストール前に実施すべき点
EMETの利用	使用上問題なければ特に必要なし。
他ブラウザの利用	使用上問題なければ特に必要なし。
ゾーンセキュリティレベル「高」設定	使用上問題なければ特に必要なし。
VML コンポーネントの無効化	使用上問題なければ特に必要なし。なお更新プログラムをインストールしても再登録は行われない。*3
IE拡張保護モードの有効化	使用上問題なければ特に必要なし。
Flash プラグインの無効化	使用上問題なければ特に必要なし。
VGX.DLL上のACLの修正	更新プログラムをインストールする前に回避策の解除が必要。

回避策

MS14-021がインストールできない場合、次のいずれかの回避策を行うことでCVE-2014-1776の影響の緩和が可能であるとMicrosoftやFireEyeが報告しています。お約束ですが、本番環境へインストールする前に十分な検証を行ってください。

回避策	Microsoft	FireEye	Symantec	TrendMicro	US-CERT*4
EMETの利用	SAに記述あり	Exploit失敗を確認	推奨	−	推奨(SA記載あり)
他ブラウザの利用	−	−	推奨	推奨	SA記載の内容ができない場合推奨
ゾーンセキュリティレベル「高」設定	SAに記述あり	−	−	−	推奨(SA記載あり)
VML コンポーネントの無効化	SAに記述あり	−	−	−	推奨(SA記載あり)
IE拡張保護モードの有効化	SAに記述あり	Exploit失敗を確認	−	−	推奨(SA記載あり)
Flash プラグインの無効化	−	Exploit失敗を確認	−	−	−

(注)「−」は特に言及がなかっただけで、「推奨していない」という意味ではありません。

(1) EMETを利用する

EMETを利用していればExploitからの保護されるとMicrosoft、FireEyeが報告しています。

当該脆弱性に対してEMET 4.0、4.1 Update1（またはEMET 5.0 TP）が緩和策として有効。
当該脆弱性に対してEMET 3.0は緩和策として有効ではない。
WindowsXPにEMET4.1を導入して当該脆弱性の緩和策となるかは不明。

Windows OS	EMET 4.0/4.1	EMET 5.0 TP
Windows XP SP3	○インストール可能	×未サポート
Windows Vista SP1以降	○インストール可能	○インストール可能
Windows 8	○インストール可能	○インストール可能
Windows 8.1	×未サポート	○インストール可能
Windows Server 2003 SP1以降	○インストール可能	○インストール可能
Windows Server 2008	○インストール可能	○インストール可能
Windows Server 2008 R2	○インストール可能	○インストール可能
Windows Server 2012	×未サポート	○インストール可能

(2) 脆弱性が修正されるまでの間、他のブラウザを使用する

FireFoxやChrome、OperaといったIE、及びIEのコンポーネントを使用しているブラウザ以外を使用すれば影響をうけません。ただし、特定のWebシステムがIEにしか対応していない場合IEと他ブラウザの使い分けをしなくてはなりません。

(3) インターネットやローカルイントラネットのセキュリティレベルを「高」にする

ゾーンのセキュリティレベルを「高」に設定することでアクティブスクリプトとActiveXコントロールが無効化されるため影響を緩和できます。ただしWebサイトによっては動かなくなる場合があります。

(4) IEの「拡張保護モード」を有効にする(64bit版OSで動作するIE10,IE11のみ)

InternetExplorer 10,11の拡張保護モードを有効にすることで影響を緩和することが可能とFireEyeが報告しています。拡張保護モードはインターネットオプションの詳細タブから設定可能です。当該設定が有効となっている場合、Webサイトによっては閲覧できなくなるといった弊害も発生する可能性があることから、この設定は既定では無効となっています。

またMicrosoftは「拡張保護モードを有効にする」と「拡張保護モードで64ビットプロセッサを有効にする」が有効になっている場合に影響を緩和できると報告しており、FireEyeの報告と少し異なります。「拡張保護モードで64ビットプロセッサを有効にする」は64bit版のWindows 8(8.1)にのみ存在しますが、Windows7では拡張保護モードを有効にすれば64bitでの動作となるため、次の設定をすれば緩和できるようです。

OS	システムの種類	当該設定による影響の緩和	拡張保護モード	64bitプロセッサでの有効
Windows 7	32bit	不可？	−	−
Windows 7	64bit	可能	有効に設定	−
Windows 8(8.1)	32bit	不可？	−	−
Windows 8(8.1)	64bit	可能	有効に設定	有効に設定

「拡張保護モード」についての詳細は以下のMicrosoftのエントリが参考になりました。

IE10 & IE11 : 拡張保護モードのいろいろ - Japan IE Support Team Blog - Site Home - TechNet Blogs

(5) VML コンポーネントを無効にする

攻撃に悪用されているVML コンポーネントを無効化することで影響を緩和します。具体的には次のコマンドを実行してVGX.dll無効化します。なおこのコマンドは管理者権限で実行する必要があります。また更新プログラムインストール後は再度有効にする必要があります。

32bit版Windowsの場合

無効化方法

管理者権限でコマンドプロンプトを開き次のコマンドを実行
"%SystemRoot%\System32\regsvr32.exe" -u "%CommonProgramFiles%\Microsoft Shared\VGX\vgx.dll"

有効化方法

管理者権限でコマンドプロンプトを開き次のコマンドを実行
"%SystemRoot%\System32\regsvr32.exe" "%CommonProgramFiles%\Microsoft Shared\VGX\vgx.dll"

64bit版Windowsの場合

無効化方法

管理者権限でコマンドプロンプトを開き次の２つのコマンドを実行
"%SystemRoot%\System32\regsvr32.exe" -u "%CommonProgramFiles%\Microsoft Shared\VGX\vgx.dll"
"%SystemRoot%\System32\regsvr32.exe" -u "%CommonProgramFiles(x86)%\Microsoft Shared\VGX\vgx.dll"

有効化方法

管理者権限でコマンドプロンプトを開き次の２つのコマンドを実行
"%SystemRoot%\System32\regsvr32.exe" "%CommonProgramFiles%\Microsoft Shared\VGX\vgx.dll"
"%SystemRoot%\System32\regsvr32.exe" "%CommonProgramFiles(x86)%\Microsoft Shared\VGX\vgx.dll"

(6) Flash Plug-inを無効にする

FireEyeが確認しているExploitではFlashが使用されていることから、Flashを無効化することでExploitが動作を阻害できることが報告されています。Win8向けのIEはFlashが組み込まれているのでインストールしていなくても有効になっています。

CVE-2014-1776関連トピックのタイムライン

不明
- FireEyeがIEodayに関する情報をMicrosoftへ提供
2014/04/26
- MAPPで各社へ情報が展開されたと思われる*5
2014/04/27
- Microsoftがセキュリティアドバイザリ 2963983を公開
- FireEyeがIE0dayを悪用した標的型攻撃「Operation Clandestine Fox.」に関する情報を公開
- US-CERT(DHS)が当該脆弱性に関する注意喚起を公開。
2014/04/28
- Symantecが同社検証を通じてWinXP上のIEがクラッシュする(脆弱性の影響を受ける)ことを確認したと発表。
- JPCERT/CCが当該脆弱性に関する注意喚起を公開。
- IPAが当該脆弱性に関する注意喚起を公開。
2014/04/29
- 日本国内一般メディアが報じ始める。*6 *7 *8
2014/04/30
- 内閣官房情報セキュリティーセンターが全国の自治体、省庁へ文書にて注意喚起*9
2014/05/01
- IPAがCVE-2014-1776について記者会見*10
2014/05/02
- MicrosoftがCVE-2014-1776の修正プログラム MS14-021を公開