CVEノート

最近の脆弱性 › CVE-2019-1429

Microsoft Internet Explorer の脆弱性（CVE-2019-1429）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号CVE-2019-1429
製品Microsoft Internet Explorer
深刻度（CVSS）7.5 重要CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
KEVへの追加日2021-11-03
米国政府機関の対応期限2022-05-03
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-416, CWE-787

何が起きた

Microsoft Internet Explorer のスクリプトエンジン（ページ内のプログラムを動かす部分）が、メモリの中のデータを正しく扱えず、メモリを壊してしまう弱点が見つかり、実際に悪用が確認されています。悪用されると、いまログインしている利用者と同じ権限で、攻撃者が任意の（好きに選べる）プログラムを動かせるおそれがあります。NVD の評価では、攻撃者はネットワーク経由で、ログイン不要で悪用できますが、利用者が細工したページを見るなどの操作が必要です。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が細工した Web ページを用意する → 2. 利用者にそのページを見させる → 3. スクリプトエンジンのメモリが壊れる → 4. 利用者の権限でプログラムが動く1攻撃者が細工した Web ページを用意する2利用者にそのページを見させる3スクリプトエンジンのメモリが壊れる4利用者の権限でプログラムが動く攻撃の流れ: 1. 攻撃者が細工した Web ページを用意する → 2. 利用者にそのページを見させる → 3. スクリプトエンジンのメモリが壊れる → 4. 利用者の権限でプログラムが動く1攻撃者が細工した Web ページを用意する2利用者にそのページを見させる3スクリプトエンジンのメモリが壊れる4利用者の権限でプログラムが動く

誰が影響を受ける

Microsoft によると、Windows 7、Windows 8.1、Windows RT 8.1、Windows 10、Windows Server 2008 R2、2012、2012 R2、2016、2019 の Internet Explorer 11、Windows Server 2012 の Internet Explorer 10、Windows Server 2008 の Internet Explorer 9 が対象です。

何をすればいい

Microsoft は 2019年11月12日のセキュリティ更新で修正しています。たとえば Internet Explorer の累積的な更新 KB4525106、Windows 10 Version 1903 の KB4524570、Windows 10 Version 1809 と Windows Server 2019 の KB4523205 です。Windows Update で更新が入っているか確認し、あわせて Microsoft の公式の案内を確認してください。知らない相手から届いたリンクやファイルは開かないようにしてください。

やることチェックリスト

用語メモ

スクリプトエンジン
Web ページに書かれたプログラム（スクリプト）を読み取って動かす部分です。
累積的な更新
それまでに出た修正をまとめて含んでいる更新プログラムです。

元データ（英語・CISA KEV より）

Microsoft Internet Explorer Scripting Engine Memory Corruption Vulnerability

概要

Microsoft Internet Explorer contains a memory corruption vulnerability which can allow for remote code execution in the context of the current user.

推奨対応

Apply updates per vendor instructions.

公式情報