Check Point Software Technologiesは7月9日(米国時間)、「CPR Warns Threat Actors are Leveraging Internet Explorer in New Zero-Day Spoofing Attack (CVE-2024-38112) - Check Point Blog」において、HTMLレンダリングエンジンの「MSHTML」に存在する脆弱性を通じて、サイバー攻撃にMicrosoft Internet Explorerが悪用されていると報じた。この脆弱性はゼロデイの脆弱性として1年以上前から悪用されていたとみられている。

CPR Warns Threat Actors are Leveraging Internet Explorer in New Zero-Day Spoofing Attack (CVE-2024-38112) - Check Point Blog

○脆弱性の情報

発見された脆弱性に関する情報は次のページにまとまっている。

CVE-2024-38112 - Security Update Guide - Microsoft - Windows MSHTML Platform Spoofing Vulnerability

Resurrecting Internet Explorer: Threat Actors Using Zero-day Tricks in Internet Shortcut File to Lure Victims (CVE-2024-38112) - Check Point Research

脆弱性の情報(CVE)は次のとおり。

CVE-2024-38112 - Windows MSHTMLプラットフォームにスプーフィングの脆弱性

○攻撃の詳細

今回発見された攻撃は特別なURLファイルを用いる。攻撃者は悪意のあるURLファイルをユーザーに送付し、ユーザーをだましてそれを実行させ、さらにWindowsの警告を無視させてInternet Explorerを実行する。攻撃を完遂するには複数のユーザー操作を必要とすることから、脆弱性の深刻度は重要(Important)にとどまるが、悪用が確認されており注意が必要。

次に示す悪意のあるURLファイルの例ではPDFファイルのアイコンが表示されるため、だまされる可能性がある。

悪意のあるURLファイルの例　引用：Check Point

この例のように悪意のあるURLファイルは、アクセス先として「mhtml」から始まるURLを指定する。mhtmlは「MIME Encapsulation of Aggregate HTML Documents」の略で、HTML文書とそこからリンクされるリソースを表現するフォーマットとされる。

この手法を使用すると、WindowsはEdgeではなく廃止されたはずのInternet Explorerを起動して指定されたリソースにアクセスしようとする。Internet ExplorerはWindowsの一部として機能が残されているため、ユーザーが実行を許可すると利用することができる。

Internet Explorerには多くの脆弱性が存在する。攻撃者はInternet Explorerから悪意のあるWebサイトにアクセスさせることでリモートコードを実行する。

○脆弱性が存在する製品

脆弱性が存在するとされる製品およびバージョンは次のとおり(サポート対象外の製品を除く)。

Windows 11 Version 23H2

Windows 11 Version 22H2

Windows 11 Version 21H2

Windows 10 Version 22H2

Windows 10 Version 21H2

Windows 10 Version 1809

Windows 10 Version 1607

Windows 10

Windows Server 2022, 23H2 Edition

Windows Server 2022

Windows Server 2019

Windows Server 2016

Windows Server 2012 R2

Windows Server 2008 for x64-based Systems Service Pack 2

Windows Server 2008 for 32-bit Systems Service Pack 2

○対策

Microsoftは7月9日(米国時間)、脆弱性を修正したセキュリティアップデートを公開した。当該製品を運用している管理者は、影響を確認して速やかにアップデートすることが推奨されている。