Microsoft .NET Framework, SharePoint, Visual Studio のリモートコード実行の脆弱性（CVE-2020-1147）

何が起きた

.NET Framework、Microsoft SharePoint、Visual Studio に、受け取った XML の中身を確かめないまま組み立て直してしまう弱点が見つかりました。悪用されると、XML を組み立て直す処理（デシリアライズ）を行うプログラムの権限で、任意のコードを実行されるおそれがあります。NVD の評価では、攻撃は対象の機器上で行われ、利用者の操作が必要とされていますが、Microsoft は、影響を受ける製品で内容を処理するサーバーに、攻撃者が細工した文書をアップロードする攻撃の流れを説明しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Microsoft によると、.NET Framework 2.0 Service Pack 2 から 4.8 までの各版、.NET Core 2.1 と 3.1、SharePoint Server 2010 Service Pack 2、SharePoint Enterprise Server 2013 Service Pack 1、SharePoint Enterprise Server 2016、SharePoint Server 2019、Visual Studio 2017 version 15.9、Visual Studio 2019 version 16.0、16.4、16.6 などが対象です。弱点は DataSet と DataTable という部品にあります。

何をすればいい

2020年7月に公開されたセキュリティ更新プログラムを適用してください。Microsoft はその後、2020年10月13日に .NET Framework 向けの更新を出し直しており、完全に守るにはこれも必要です。Windows 10 では10月のセキュリティ更新、Windows 8.1 や Windows 7、Windows Server 2008 から 2012 R2 では10月の月例のロールアップか、出し直されたセキュリティのみの更新を入れてください。セキュリティのみの更新を使っている場合は、10月13日以降にもう一度入れ直す必要があり、自動更新を使っている場合は追加の作業はいりません。Microsoft によると、完全に守るには .NET Framework の更新に加えて、SharePoint や Visual Studio など、ほかの影響を受ける製品の更新も必要です。お使いの版に合う更新は、公式の案内（Microsoft のセキュリティ更新ガイド）で確認してください。

やることチェックリスト

• .NET Framework の2020年10月の更新を適用する
• SharePoint Server の更新も適用する
• Visual Studio を修正済みの版に更新する

用語メモ

XML

データの意味や構造をタグで表す、文字のデータの形式です。

デシリアライズ

送られてきたデータを、プログラムの中で使える形に組み立て直す処理です。

DataSet

.NET でデータの集まりを扱うための部品です。