CVEノート

最近の脆弱性 › CVE-2020-0646

Microsoft .NET Framework のリモートコード実行の脆弱性（CVE-2020-0646）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号CVE-2020-0646
製品Microsoft .NET Framework
深刻度（CVSS）9.8 緊急CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2021-11-03
米国政府機関の対応期限2022-05-03
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-91

何が起きた

Microsoft の .NET Framework（Windows でアプリを動かすための土台）が、受け取った入力を正しく確かめないため、攻撃者に機器を乗っ取られるおそれがある弱点が見つかり、実際に悪用が確認されています。Microsoft によると、攻撃者は、問題のある .NET の機能を使っているアプリに、特定の入力を渡す必要があります。NVD の評価では、攻撃者はネットワーク経由でログインなしに悪用でき、利用者の操作も不要です。

誰が影響を受ける

Microsoft によると、.NET Framework 3.0 Service Pack 2、3.5、3.5.1、4.5.2、4.6、4.6.1、4.6.2、4.7、4.7.1、4.7.2、4.8 を使っている人や組織が対象です。Microsoft は、.NET Framework 4.5.2、4.6、4.6.1 は 2022年4月26日にサポートが終わったとしています。

何をすればいい

Microsoft が 2020年1月14日に公開した .NET Framework のセキュリティ更新プログラムを、使っている Windows と .NET Framework の版に合わせて入れてください。サポートが終わった .NET Framework 4.5.2、4.6、4.6.1 は使い続けないようにし、あわせて Microsoft の公式の案内を確認してください。

やることチェックリスト

用語メモ

.NET Framework
Microsoft が作った、Windows でアプリを作ったり動かしたりするための土台となるソフトウェアです。

元データ（英語・CISA KEV より）

Microsoft .NET Framework Remote Code Execution Vulnerability

概要

Microsoft .NET Framework contains an improper input validation vulnerability that allows for remote code execution.

推奨対応

Apply updates per vendor instructions.

公式情報