VDB-159508 · CVE-2020-1555 · GCVE-0-2020-1555

Microsoft Edge/ChakraCore Scripting Engine メモリ破損

CVSS 一時的なメタスコア	現在のエクスプロイト価格 (≈)	CTI注目指数
7.4	$5k-$25k	0.00

要約情報

現在、Microsoft Edge and ChakraCoreにて、重大と分類される脆弱性が確認されています。対象となるのは不明な関数コンポーネントScripting Engineのです。操作結果としてメモリ破損につながります。この脆弱性はCVE-2020-1555として知られています。攻撃はリモートで開始される可能性があります。この問題の修正にはパッチの適用が推奨されます。

現在、Microsoft Edge and ChakraCoreにて、重大と分類される脆弱性が確認されています。対象となるのは不明な関数コンポーネントScripting Engineのです。操作結果としてメモリ破損につながります。この脆弱性に対応するCWEの定義は CWE-119 です。この脆弱性は 2020年08月11日に「ウェブサイト」の Security Update Guideにて紹介されました。アドバイザリーは portal.msrc.microsoft.com にてダウンロード用に公開されています。一般向けリリースはベンダーと調整済みです。

この脆弱性はCVE-2020-1555として知られています。攻撃はリモートで開始される可能性があります。技術的な情報は提供されていません。この脆弱性の一般的な利用度は平均を下回っています。今のところ、エクスプロイトの価格はおよそUSD $5k-$25kと推定されます。勧告では次の点が指摘されています：

A remote code execution vulnerability exists in the way that the scripting engine handles objects in memory in Microsoft Edge (HTML-based). The vulnerability could corrupt memory in such a way that an attacker could execute arbitrary code in the context of the current user. An attacker who successfully exploited the vulnerability could gain the same user rights as the current user. If the current user is logged on with administrative user rights, an attacker who successfully exploited the vulnerability could take control of an affected system. An attacker could then install programs; view, change, or delete data; or create new accounts with full user rights.

このエクスプロイトツールは未定義として宣言されています。 0-dayの際、アンダーグラウンド市場での想定価格は$25k-$100k前後でした。

この問題の修正にはパッチの適用が推奨されます。脆弱性の開示からすぐに後に、可能な緩和策が公表されました。