• ひとことでInternet Explorer で、細工したページを見るだけで乗っ取られる弱点
  • 深刻度7.5 重要CVSS v3.1
  • まずやることWindows Update で最新の更新を入れる

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2019-1429
製品Microsoft Internet Explorer
深刻度（CVSS）7.5 重要CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
KEVへの追加日2021-11-03
米国政府機関の対応期限2022-05-03
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-416（解放済みメモリの使用）
CWE-787（範囲外への書き込み）

何が起きた

Microsoft Internet Explorer のスクリプトエンジン（ページ内のプログラムを動かす部分）が、メモリの中のデータを正しく扱えず、メモリを壊してしまう弱点が見つかり、実際に悪用が確認されています。悪用されると、いまログインしている利用者と同じ権限で、攻撃者が任意の（好きに選べる）プログラムを動かせるおそれがあります。NVD の評価では、攻撃者はネットワーク経由で、ログイン不要で悪用できますが、利用者が細工したページを見るなどの操作が必要です。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が細工した Web ページを用意する → 2. 利用者にそのページを見させる → 3. スクリプトエンジンのメモリが壊れる → 4. 利用者の権限でプログラムが動く1攻撃者が細工した Web ページを用意する2利用者にそのページを見させる3スクリプトエンジンのメモリが壊れる4利用者の権限でプログラムが動く攻撃の流れ: 1. 攻撃者が細工した Web ページを用意する → 2. 利用者にそのページを見させる → 3. スクリプトエンジンのメモリが壊れる → 4. 利用者の権限でプログラムが動く1攻撃者が細工した Web ページを用意する2利用者にそのページを見させる3スクリプトエンジンのメモリが壊れる4利用者の権限でプログラムが動く攻撃の流れ: 1. 攻撃者が細工した Web ページを用意する → 2. 利用者にそのページを見させる → 3. スクリプトエンジンのメモリが壊れる → 4. 利用者の権限でプログラムが動く1攻撃者が細工した Web ページを用意する2利用者にそのページを見させる3スクリプトエンジンのメモリが壊れる4利用者の権限でプログラムが動く

誰が影響を受ける

Microsoft によると、Windows 7、Windows 8.1、Windows RT 8.1、Windows 10、Windows Server 2008 R2、2012、2012 R2、2016、2019 の Internet Explorer 11、Windows Server 2012 の Internet Explorer 10、Windows Server 2008 の Internet Explorer 9 が対象です。

何をすればいい

Microsoft は 2019年11月12日のセキュリティ更新で修正しています。たとえば Internet Explorer の累積的な更新 KB4525106、Windows 10 Version 1903 の KB4524570、Windows 10 Version 1809 と Windows Server 2019 の KB4523205 です。Windows Update で更新が入っているか確認し、あわせて Microsoft の公式の案内を確認してください。知らない相手から届いたリンクやファイルは開かないようにしてください。

やることチェックリスト

  • Windows Update で最新の更新を入れる
  • Internet Explorer の KB4525106 を適用する
  • 知らない相手からのリンクを開かないようにする

用語メモ

スクリプトエンジン 用語集で見る
Web ページに書かれたプログラム（スクリプト）を読み取って動かす部分です。
累積的な更新
それまでに出た修正をまとめて含んでいる更新プログラムです。

次に読む

同じ製品・メーカーの脆弱性Microsoft Internet Explorer（CVE-2010-0806）8.8 重要CVSS v3.1古い Internet Explorer で、細工したページを開くとプログラムを実行される弱点です。同じ製品・メーカーの脆弱性Microsoft Internet Explorer（CVE-2010-0249）8.8 重要CVSS v3.1古い Internet Explorer で、細工したページを開くとプログラムを実行される弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Microsoft Internet Explorer Scripting Engine Memory Corruption Vulnerability

概要

Microsoft Internet Explorer contains a memory corruption vulnerability which can allow for remote code execution in the context of the current user.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る