最近の脆弱性 › CVE-2013-3918

Microsoft Windows の範囲外書き込みの脆弱性（CVE-2013-3918）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2013-3918
製品	Microsoft Windows
深刻度（CVSS）	8.8 重要CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H`
KEVへの追加日	2025-10-06
米国政府機関の対応期限	2025-10-27
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	不明

何が起きた

Windows の icardie.dll にある InformationCardSigninHelper Class という ActiveX コントロールに、メモリの範囲外に書き込んでしまう弱点が見つかりました。細工した Web ページを Internet Explorer で見ると、離れた場所から任意の（攻撃者が好きに選べる）コードを実行される可能性があり、その権限は見ている利用者と同じになります。NVD の評価では、ネットワーク経由でログインなしに悪用できますが、利用者がページを見る操作が必要です。実際の悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Windows XP SP2 と SP3、Windows Server 2003 SP2、Windows Vista SP2、Windows Server 2008 SP2 と R2 SP1、Windows 7 SP1、Windows 8、Windows 8.1、Windows Server 2012 Gold と R2、Windows RT Gold と 8.1 が対象です。このうち、たとえば Windows 7 と Windows 8.1 は、Microsoft のサポートがすでに終わっています。

何をすればいい

Microsoft の公式の案内（セキュリティ情報 MS13-090）を確認し、更新プログラムを適用してください。この更新は、弱点のある ActiveX コントロールが Internet Explorer で動かないようにキルビットを設定するものです。CISA は、製品がサポート終了の可能性があり、使用をやめるよう案内しているため、サポートの終わった Windows は新しいものへ移行してください。

やることチェックリスト

MS13-090 の更新プログラムを適用する
サポート終了の Windows 7 や 8.1 から移行する
知らない相手からのリンク先を開かないようにする

用語メモ

ActiveX コントロール: Internet Explorer などで Web ページに機能を足すための部品です。パソコン上で動くため、弱点があると危険です。
Internet Explorer: Microsoft の古い Web ブラウザーです。
キルビット: 特定の ActiveX コントロールを Internet Explorer で動かないようにするための設定です。

元データ（英語・CISA KEV より）

Microsoft Windows Out-of-Bounds Write Vulnerability

概要

Microsoft Windows contains an out-of-bounds write vulnerability in the InformationCardSigninHelper Class ActiveX control, icardie.dll. An attacker could exploit the vulnerability by constructing a specially crafted webpage. When a user views the webpage, the vulnerability could allow remote code execution. An attacker who successfully exploited this vulnerability could gain the same user rights as the current user. The impacted product could be end-of-life (EoL) and/or end-of-service (EoS). Users should discontinue product utilization.

推奨対応

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.