最近の脆弱性 › CVE-2018-8174
Microsoft Windows の範囲外書き込みの脆弱性（CVE-2018-8174）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2018-8174 |
|---|---|
| 製品 | Microsoft Windows |
| 深刻度（CVSS） | 7.5 重要CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2022-02-15 |
| 米国政府機関の対応期限 | 2022-08-15 |
| ランサムウェアでの悪用 | 悪用が確認されている |
| 弱点の種類（CWE） | CWE-787 |
何が起きた
Windows の VBScript エンジン（VBScript という言語のプログラムを動かす部分）が、メモリ上のデータを扱う方法に弱点が見つかりました。悪用されると、離れた場所からコードを実行される可能性があります。NVD の評価では、ログインは不要ですが、利用者がページやファイルを開くなどの操作が必要です。CISA によると、実際の悪用が確認されており、ランサムウェアでの悪用も確認されています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Windows 7、Windows 8.1、Windows RT 8.1、Windows 10、Windows Server 2008、Windows Server 2008 R2、Windows Server 2012、Windows Server 2012 R2、Windows Server 2016 などを使っている人・組織が対象です。Microsoft は 2018年5月8日に修正を公開しています。
何をすればいい
Windows Update などで、2018年5月以降のセキュリティ更新（例: KB4103718、KB4103725、KB4103723、KB4103721 など。Windows の版によって番号が違います）が入っているか確認してください。メーカーの公式の案内も確認してください。知らない相手からのファイルやリンクは開かないようにしてください。
やることチェックリスト
- 2018年5月以降の Windows の更新を入れる
- Windows の版に合った KB が入ったか調べる
- 知らない相手からのファイルを開かない
用語メモ
- VBScript
- Microsoft が作った、Windows や古い Internet Explorer で使われるスクリプト言語です。
- エンジン
- ここでは、プログラムを読み取って実際に動かすソフトの部分を指します。
- ランサムウェア
- データを使えなくして、元に戻す代わりにお金を要求する悪質なプログラムです。
元データ（英語・CISA KEV より）
Microsoft Windows VBScript Engine Out-of-Bounds Write Vulnerability
概要
A remote code execution vulnerability exists in the way that the VBScript engine handles objects in memory, aka "Windows VBScript Engine Remote Code Execution"
推奨対応
Apply updates per vendor instructions.