Microsoft Malware Protection Engine のバッファオーバーフローの脆弱性（CVE-2017-8540）

何が起きた

Microsoft Malware Protection Engine（Microsoft Defender などのウイルス対策ソフトの中で、ファイルを調べる部分）が、特別に細工されたファイルを正しく調べられず、メモリ破損が起きる弱点が見つかりました。Microsoft の説明では、悪用されると LocalSystem（Windows の最も強い権限の一つ）として任意のプログラム（攻撃者が好きに選べるもの）を動かされ、機器を乗っ取られるおそれがあります。NVD の評価では、攻撃は対象の機器上で行われ、攻撃者の権限は不要ですが、被害者の操作が必要とされています。一方 Microsoft は、リアルタイム保護が有効なら、ファイルが置かれた時点で自動で検査され、悪用につながると説明しています。実際の悪用も確認されています（Microsoft の公開時点の情報では、悪用は確認されていないとされていました）。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Microsoft Defender、Microsoft Forefront、Microsoft Security Essentials、Microsoft Exchange Server 2013 と 2016 など、このエンジンを使う Microsoft のマルウェア対策製品を使っている人・組織が対象です。Microsoft によると、影響を受ける最後のエンジンのバージョンは 1.1.13701.0 で、修正されたのは 1.1.13704.0 です。

何をすればいい

Malware Protection Engine のバージョンが 1.1.13704.0 以降になっているか確認してください。Microsoft によると、ふつうは自動更新の仕組みで公開から48時間以内に更新が入るため、利用者の作業はいりませんが、エンジンと定義ファイルの更新が実際に届いているかを確かめることがすすめられています。エンジンのバージョンの確かめ方と手動で更新する方法は、Microsoft の KB 2510781 で案内されています。あわせて公式の案内も確認してください。

やることチェックリスト

• エンジンが 1.1.13704.0 以降か確認する
• エンジンと定義ファイルの自動更新が届いているか確認する
• 必要なら手動で更新を確認する

用語メモ

Malware Protection Engine

Microsoft のウイルス対策製品の中で、ファイルを調べてウイルスなどを見つけたり取り除いたりする中心の部品です。

メモリ破損

プログラムが使うメモリの中身が、想定外の形で書き換えられてしまうことです。悪用されると、攻撃者のプログラムを動かされることがあります。

LocalSystem

Windows の中で、とても強い権限を持つ特別なアカウントです。

リアルタイム保護

ファイルが保存されたり開かれたりしたときに、自動でウイルスがないかを調べる機能です。