Microsoft Windows のリモートコード実行の脆弱性（CVE-2020-1020）

何が起きた

Windows の Adobe Type Manager Library（フォントを扱う部品）が、細工したマルチマスターフォント（Adobe Type 1 PostScript 形式）を正しく扱えない弱点が見つかり、実際に悪用が確認されています。Windows 10 以外では攻撃者のプログラムを動かされるおそれがあり、Windows 10 では権限の限られた AppContainer という囲いの中でプログラムが動くとされています。Microsoft によると、細工した文書を開かせる、エクスプローラーのプレビューウィンドウで表示させるなどの方法で悪用でき、限定的な標的型攻撃を把握しているとしています。NVD の評価では、攻撃者はネットワーク経由でログインなしに悪用できますが、利用者の操作が必要です。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Microsoft によると、Windows 7、Windows 8.1、Windows RT 8.1、Windows 10、Windows Server 2008、Windows Server 2008 R2、Windows Server 2012、Windows Server 2012 R2、Windows Server 2016、Windows Server 2019 などを使っている人や組織が対象です。Windows 7 は 2020年1月14日にサポートが終わっており、Windows 7、Windows Server 2008、Windows Server 2008 R2 でこの更新を受け取るには ESU のライセンスが必要です。

何をすればいい

Microsoft が 2020年4月14日に公開したセキュリティ更新プログラム（たとえば Windows 10 Version 1909 では KB4549951）を入れてください。すぐに入れられない場合の回避策として、エクスプローラーのプレビューウィンドウと詳細ウィンドウを無効にする方法や、WebClient サービスを無効にする方法が示されていますが、細工した文書を開いてしまった場合は防げません。Windows 10 より前の版では ATMFD.DLL を無効にする回避策もありますが、Microsoft は Windows 10 ではこれらの回避策を勧めていません。あわせて Microsoft の公式の案内を確認してください。

やることチェックリスト

• 2020年4月のセキュリティ更新を入れる
• プレビューと詳細ウィンドウを無効にする
• WebClient サービスを無効にする

用語メモ

AppContainer

Windows で、プログラムができることを狭い範囲に閉じ込めて動かす仕組みです。

プレビューウィンドウ

エクスプローラーで、ファイルを開かずに中身を横に表示する機能です。

WebClient サービス

Windows で、WebDAV という方式でネットワーク上のファイルを扱うためのサービスです。

ESU

サポートが終わった Windows に、有料の契約でセキュリティ更新を一定期間届ける仕組み（拡張セキュリティ更新）です。