VDB-156343 · CVE-2020-1214 · GCVE-0-2020-1214

Microsoft Internet Explorer 9/11 VBScript メモリ破損

CVSS 一時的なメタスコア	現在のエクスプロイト価格 (≈)	CTI注目指数
6.6	$5k-$25k	0.00

要約情報

現在、Microsoft Internet Explorer 9/11にて、重大と分類される脆弱性が確認されています。この問題により影響を受けるのは、コンポーネント【VBScript】の未知の機能です。未知の値で改ざんすることが、メモリ破損を突く攻撃に繋がります}。この脆弱性はCVE-2020-1214として知られています。攻撃を遠隔で開始することができます。この問題の修正にはパッチの適用が推奨されます。

詳細情報

現在、Microsoft Internet Explorer 9/11にて、重大と分類される脆弱性が確認されています。この問題により影響を受けるのは、コンポーネント【VBScript】の未知の機能です。未知の値で改ざんすることが、メモリ破損を突く攻撃に繋がります}。問題をCWEで宣言すると、CWE-119 になります。この脆弱性は 2020年06月09日に「ウェブサイト」の Security Update Guideにて紹介されました。アドバイザリはportal.msrc.microsoft.comで提供されています。ベンダーと連携して公開リリースが実施されました。

この脆弱性はCVE-2020-1214として知られています。攻撃を遠隔で開始することができます。技術的な情報は提供されていません。この脆弱性の一般的な利用度は平均を下回っています。現時点で、脆弱性の構成から考えられる取引価格帯を約$5k-$25k米ドルと算出しました。アドバイザリーは次を指摘しています。

A remote code execution vulnerability exists in the way that the VBScript engine handles objects in memory. The vulnerability could corrupt memory in such a way that an attacker could execute arbitrary code in the context of the current user. An attacker who successfully exploited the vulnerability could gain the same user rights as the current user. If the current user is logged on with administrative user rights, an attacker who successfully exploited the vulnerability could take control of an affected system. An attacker could then install programs; view, change, or delete data; or create new accounts with full user rights.

このエクスプロイトツールは未定義として宣言されています。 0-dayの際、アンダーグラウンド市場での想定価格は$25k-$100k前後でした。

この問題の修正にはパッチの適用が推奨されます。脆弱性の開示からすぐに後に、可能な緩和策が公表されました。