VDB-152075 · ADV200006 · GCVE-100-152075

Microsoft Windows 迄 Server 2019 Type 1 Font Parser 特権昇格

CVSS 一時的なメタスコア	現在のエクスプロイト価格 (≈)	CTI注目指数
6.2	$25k-$100k	0.00

要約情報

Microsoft Windows内に重大として分類された脆弱性が発見されました。影響を受けるのは、コンポーネント【Type 1 Font Parser】の未知の関数です。未知の値で改ざんすることが、特権昇格を突く攻撃に繋がります}。攻撃はリモートで開始される可能性が高いです。さらに、悪用手段が存在します。影響を受けたコンポーネントを無効にすることを推奨します。

Microsoft Windows内に重大として分類された脆弱性が発見されました。影響を受けるのは、コンポーネント【Type 1 Font Parser】の未知の関数です。未知の値で改ざんすることが、特権昇格を突く攻撃に繋がります}。 CWEを使用して問題を宣言すると、CWE-269 につながります。この弱点は発表されました 2020年03月23日 ADV200006として（ウェブサイト）。アドバイザリーは portal.msrc.microsoft.com で共有されています。ベンダーとの調整なしに公開されました。

攻撃はリモートで開始される可能性が高いです。技術的な詳細は利用できません。この脆弱性の悪用頻度の高さは平均を超えています。さらに、悪用手段が存在します。エクスプロイトツールの現在の価格はおそらく米ドルで約$25k-$100kです。 MITRE ATT&CKプロジェクトは、攻撃手法を T1068 と定義しています。アドバイザリーは次を指摘しています。

Microsoft is aware of limited targeted attacks that could leverage un-patched vulnerabilities in the Adobe Type Manager Library, and is providing the following guidance to help reduce customer risk until the security update is released.

高度に機能的として宣言されています。 0dayにはおよそ $25k-$100k の価値があったと予想しています。アドバイザリでは以下の点が述べられています：

Two remote code execution vulnerabilities exist in Microsoft Windows when the Windows Adobe Type Manager Library improperly handles a specially-crafted multi-master font - Adobe Type 1 PostScript format.

】のプラグインを提供しています。

影響を受けたコンポーネントを無効にすることを推奨します。アドバイザリには以下のようなコメントが記載されています：

Microsoft is aware of this vulnerability and working on a fix. Updates that address security vulnerabilities in Microsoft software are typically released on Update Tuesday, the second Tuesday of each month. This predictable schedule allows for partner quality assurance and IT planning, which helps maintain the Windows ecosystem as a reliable, secure choice for our customers. The operating system versions that are affected by this vulnerability are listed below. Please see the mitigation and workarounds for guidance on how to reduce the risk.