最近の脆弱性 › CVE-2016-3298

Microsoft Internet Explorer の情報漏えいの脆弱性（CVE-2016-3298）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2016-3298
製品	Microsoft Internet Explorer
深刻度（CVSS）	6.5 警告CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N`
KEVへの追加日	2022-05-24
米国政府機関の対応期限	2022-06-14
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-200

何が起きた

Internet Explorer と、Windows の部品である Internet Messaging API が、メモリ上のデータを正しく扱えない弱点が見つかりました。細工した Web サイトを見せることで、攻撃者が利用者のパソコンのディスクに特定のファイルがあるかどうかを調べられます。攻撃者はネットワーク経由でログインなしに狙えますが、利用者がそのサイトを開く必要があります。Microsoft は公開時点でこの弱点が悪用されていたとしており、CISA も悪用を確認しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Internet Explorer 9 から 11 を使っている人と、Windows Vista SP2、Windows Server 2008 SP2 と R2 SP1、Windows 7 SP1 の Internet Messaging API が対象です。これらの Windows は、Microsoft のサポートがすでに終わっています。

何をすればいい

MS16-118（Internet Explorer）と MS16-126（Internet Messaging API）の更新プログラムが当たっているか確認してください。Windows Vista と Windows Server 2008 では、KB3191492 だけでは不十分で、KB3193515 も入れる必要があると Microsoft は説明しています。Microsoft は回避策はないとしています。サポートが終わった Windows は新しい版へ移行し、公式の案内を確認してください。

やることチェックリスト

MS16-118 と MS16-126 の更新を適用する
Vista と Server 2008 は KB3193515 も適用する
サポート終了の Windows を新しい版へ移行する

用語メモ

Internet Messaging API: Windows に含まれる部品の一つで、ほかのプログラムから呼び出して使われる機能のまとまり（API）です。
更新プログラム: ソフトウェアの不具合や弱点を直すために、メーカーが配る修正用のプログラムです。

元データ（英語・CISA KEV より）

Microsoft Internet Explorer Messaging API Information Disclosure Vulnerability

概要

An information disclosure vulnerability exists when the Microsoft Internet Messaging API improperly handles objects in memory. An attacker who successfully exploited this vulnerability could allow the attacker to test for the presence of files on disk.

推奨対応

Apply updates per vendor instructions.