NVD脆弱性詳細

CVE-2010-0249

概要	Use-after-free vulnerability in Microsoft Internet Explorer 6, 6 SP1, 7, and 8 on Windows 2000 SP4; Windows XP SP2 and SP3; Windows Server 2003 SP2; Windows Vista Gold, SP1, and SP2; Windows Server 2008 Gold, SP2, and R2; and Windows 7 allows remote attackers to execute arbitrary code by accessing a pointer associated with a deleted object, related to incorrectly initialized memory and improper handling of objects in memory, as exploited in the wild in December 2009 and January 2010 during Operation Aurora, aka "HTML Object Memory Corruption Vulnerability."
公表日	2010年1月16日2:30
登録日	2021年1月29日10:56
最終更新日	2024年2月16日6:06

CVSS3.1 : HIGH
スコア	8.8
ベクター	CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
攻撃元区分(AV)	ネットワーク
攻撃条件の複雑さ(AC)	低
攻撃に必要な特権レベル(PR)	不要
利用者の関与(UI)	要
影響の想定範囲(S)	変更なし
機密性への影響(C)	高
完全性への影響(I)	高
可用性への影響(A)	高

CVSS2.0 : HIGH
スコア	9.3
ベクター	AV:N/AC:M/Au:N/C:C/I:C/A:C
攻撃元区分(AV)	ネットワーク
攻撃条件の複雑さ(AC)	中
攻撃前の認証要否(Au)	不要
機密性への影響(C)	高
完全性への影響(I)	高
可用性への影響(A)	高
全ての特権を取得	いいえ
ユーザー権限を取得	いいえ
その他の権限を取得	いいえ
ユーザー操作が必要	はい

影響を受けるソフトウェアの構成

構成1		以上	以下	より上	未満
cpe:2.3:a:microsoft:internet_explorer:5.0.1:sp4::::::
cpe:2.3:a:microsoft:internet_explorer:6:sp1::::::
実行環境
1	cpe:2.3:o:microsoft:windows_2000:-:sp4::::::

構成2		以上	以下	より上	未満
cpe:2.3:a:microsoft:internet_explorer:6:-::::::
実行環境
1	cpe:2.3:o:microsoft:windows_server_2003:-:sp2:::::itanium:*
2	cpe:2.3:o:microsoft:windows_server_2003:-:sp2:::::x64:*
3	cpe:2.3:o:microsoft:windows_xp:-:sp2:::professional::x64:
4	cpe:2.3:o:microsoft:windows_xp:-:sp3::::::
5	cpe:2.3:o:microsoft:windows_xp:-:sp2::::::

構成3		以上	以下	より上	未満
cpe:2.3:a:microsoft:internet_explorer:7.0:::::::*
実行環境
1	cpe:2.3:o:microsoft:windows_server_2003:-:sp2:::::itanium:*
2	cpe:2.3:o:microsoft:windows_server_2003:-:sp2:::::x64:*
3	cpe:2.3:o:microsoft:windows_server_2008:-:::::::*
4	cpe:2.3:o:microsoft:windows_server_2008:-:sp2::::::
5	cpe:2.3:o:microsoft:windows_vista:-:sp2:::-::x64:
6	cpe:2.3:o:microsoft:windows_vista:-:sp1:::-::x64:
7	cpe:2.3:o:microsoft:windows_vista:-::::-::x64:*
8	cpe:2.3:o:microsoft:windows_xp:-:sp3::::::
9	cpe:2.3:o:microsoft:windows_xp:-:sp2::::::
10	cpe:2.3:o:microsoft:windows_xp:-:sp2:::professional::x64:

構成4		以上	以下	より上	未満
cpe:2.3:a:microsoft:internet_explorer:8:::::::*
実行環境
1	cpe:2.3:o:microsoft:windows_7:-:::::::*
2	cpe:2.3:o:microsoft:windows_server_2003:-:sp2:::::x64:*
3	cpe:2.3:o:microsoft:windows_server_2008:-:sp2::::::
4	cpe:2.3:o:microsoft:windows_server_2008:-:::::::*
5	cpe:2.3:o:microsoft:windows_server_2008:r2::::::itanium:
6	cpe:2.3:o:microsoft:windows_server_2008:r2::::::x64:
7	cpe:2.3:o:microsoft:windows_vista:-:sp2:::-::x64:
8	cpe:2.3:o:microsoft:windows_vista:-:sp1:::-::x64:
9	cpe:2.3:o:microsoft:windows_vista:-::::-::x64:*
10	cpe:2.3:o:microsoft:windows_xp:-:sp2:::professional::x64:
11	cpe:2.3:o:microsoft:windows_xp:-:sp3::::::
12	cpe:2.3:o:microsoft:windows_xp:-:sp2::::::

関連情報、対策とツール

No	URL	refsource	タグ
1	http://www.kb.cert.org/vuls/id/492515	CERT-VN	Third Party Advisory US Government Resource
2	http://blogs.technet.com/msrc/archive/2010/01/14/security-advisory-979352.aspx	CONFIRM	Broken Link Vendor Advisory
3	http://www.securityfocus.com/bid/37815	BID	Broken Link Exploit Third Party Advisory VDB Entry
4	http://securitytracker.com/id?1023462	SECTRACK	Broken Link Third Party Advisory VDB Entry
5	http://support.microsoft.com/kb/979352	MSKB	Patch Vendor Advisory
6	http://www.microsoft.com/technet/security/advisory/979352.mspx	CONFIRM	Broken Link Patch Vendor Advisory
7	http://www.exploit-db.com/exploits/11167	EXPLOIT-DB	Exploit Third Party Advisory VDB Entry
8	http://osvdb.org/61697	OSVDB	Broken Link
9	http://www.vupen.com/english/advisories/2010/0135	VUPEN	Broken Link
10	http://news.cnet.com/8301-27080_3-10435232-245.html	MISC	Broken Link
11	http://www.us-cert.gov/cas/techalerts/TA10-055A.html	CERT	Broken Link Third Party Advisory US Government Resource
12	https://exchange.xforce.ibmcloud.com/vulnerabilities/55642	XF	Third Party Advisory VDB Entry
13	https://oval.cisecurity.org/repository/search/definition/oval%3Aorg.mitre.oval%3Adef%3A6835	OVAL	Broken Link
14	https://docs.microsoft.com/en-us/security-updates/securitybulletins/2010/ms10-002	MS	Patch Vendor Advisory

共通脆弱性一覧

No	CWE	名前	URL
1	CWE-416	解放済みメモリの使用	https://cwe.mitre.org/data/definitions/416.html

JVN脆弱性情報

Microsoft Internet Explorer において任意のコードが実行される脆弱性

タイトル	Microsoft Internet Explorer において任意のコードが実行される脆弱性
概要	Microsoft Internet Explorer には、任意のコードが実行される脆弱性があります。 Microsoft Internet Explorer には、削除されたオブジェクトへの不正なポインタ参照をすることに起因する任意のコードが実行される脆弱性が存在します。 2010年1月15日現在、本脆弱性を使用した攻撃活動が観測されています。
想定される影響	細工された HTML ドキュメントを閲覧することにより、任意のコードを実行されたり、サービス運用妨害 (DoS) 攻撃を受けたりする可能性があります。
対策	[アップデートする] Microsoft が提供する情報をもとにアップデートを行ってください。 [ワークアラウンドを実施する] 以下の回避策を適用することで、本脆弱性の影響を軽減することが可能です。・[インターネット] ゾーンのセキュリティ設定を "高" にする・[インターネット] および [ローカルイントラネット] ゾーンのセキュリティ設定において、[アクティブスクリプト] の項目を "ダイアログを表示する" もしくは "無効にする" に設定する・Internet Explorer 6 Service Pack 2 および Internet Explorer 7 にて、DEP (Data Execution Prevention) を有効にする・Microsoft Office で ActiveX コントロールを無効にする
公表日	2010年1月15日0:00
登録日	2010年2月19日14:21
最終更新日	2010年2月19日14:21

影響を受けるシステム

マイクロソフト

Microsoft Internet Explorer 6

Microsoft Internet Explorer 7

Microsoft Internet Explorer 8

Microsoft Windows 2000

Microsoft Windows 7 (x32)

Microsoft Windows 7 (x64)

Microsoft Windows Server 2003

Microsoft Windows Server 2003 (itanium)

Microsoft Windows Server 2003 (x64)

Microsoft Windows Server 2008 (itanium)

Microsoft Windows Server 2008 (x64)

Microsoft Windows Server 2008 (x86)

Microsoft Windows Server 2008 r2(itanium)

Microsoft Windows Server 2008 r2(x64)

Microsoft Windows Vista

Microsoft Windows Vista (x64)

Microsoft Windows XP (x64)

Microsoft Windows XP sp3

CVE (情報セキュリティ共通脆弱性識別子)

No	名前	URL
Common Vulnerabilities and Exposures (CVE)
1	CVE-2010-0249	http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-0249
National Vulnerability Database (NVD)
2	CVE-2010-0249	http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2010-0249

CWE (共通脆弱性タイプ一覧)

No	名前	URL
JVNDB
1	CWE-399	https://jvndb.jvn.jp/ja/cwe/CWE-399.html

ベンダー情報

No	名前	URL
Microsoft Security Advisory
1	979352	http://www.microsoft.com/technet/security/advisory/979352.mspx
Microsoft Security Bulletin
2	MS10-002	http://www.microsoft.com/technet/security/bulletin/MS10-002.mspx
マイクロソフトセキュリティアドバイザリ
3	979352	http://www.microsoft.com/japan/technet/security/advisory/979352.mspx
マイクロソフトセキュリティ情報
4	MS10-002	http://www.microsoft.com/japan/technet/security/bulletin/ms10-002.mspx
絵でみるセキュリティ情報
5	MS10-002e	http://www.microsoft.com/japan/security/bulletins/MS10-002e.mspx

その他

No	名前	URL
IPA 緊急対策情報
1	20100122-ms10-002	http://www.ipa.go.jp/security/ciadr/vul/20100122-ms10-002.html
ISS X-Force Database
2	55642	http://xforce.iss.net/xforce/xfdb/55642
JPCERT 緊急報告
3	JPCERT-AT-2010-0004	https://www.jpcert.or.jp/at/2010/at100004.txt
JVN
4	JVNTA10-021A	http://jvn.jp/cert/JVNTA10-021A/
5	JVNVU#492515	http://jvn.jp/cert/JVNVU492515/
JVN Status Tracking Notes
6	JVNTR-2010-04	http://jvn.jp/tr/JVNTR-2010-04/
7	JVNTR-2010-06	http://jvn.jp/tr/JVNTR-2010-06
OPEN SOURCE VULNERABILITY DATABASE (OSVDB)
8	61697	http://osvdb.org/61697
Secunia Advisory
9	SA38209	http://secunia.com/advisories/38209/
SecurityFocus
10	37815	http://www.securityfocus.com/bid/37815
SecurityTracker
11	1023462	http://securitytracker.com/id?1023462
US-CERT Cyber Security Alerts
12	SA10-021A	http://www.us-cert.gov/cas/alerts/SA10-021A.html
US-CERT Technical Cyber Security Alert
13	TA10-021A	http://www.us-cert.gov/cas/techalerts/TA10-021A.html
14	TA10-055A	http://www.us-cert.gov/cas/techalerts/TA10-055A.html
US-CERT Vulnerability Note
15	VU#492515	http://www.kb.cert.org/vuls/id/492515
VUPEN Security
16	VUPEN/ADV-2010-0135	http://www.vupen.com/english/advisories/2010/0135
17	VUPEN/ADV-2010-0187	http://www.vupen.com/english/advisories/2010/0187
警察庁 @police
18	マイクロソフト社のセキュリティ修正プログラムについて(MS10-002)	http://www.npa.go.jp/cyberpolice/#topics

変更履歴

No	変更内容	変更日
0	[2010年02月19日] 掲載	2018年2月17日10:37

構成3		以上	以下	より上	未満
cpe:2.3:a:microsoft:internet_explorer:7.0:::::::*
実行環境
1	cpe:2.3:o:microsoft:windows_server_2003:-:sp2:::::itanium:*
2	cpe:2.3:o:microsoft:windows_server_2003:-:sp2:::::x64:*
3	cpe:2.3:o:microsoft:windows_server_2008:-:::::::*
4	cpe:2.3:o:microsoft:windows_server_2008:-:sp2::::::
5	cpe:2.3:o:microsoft:windows_vista:-:sp2:::-::x64:
6	cpe:2.3:o:microsoft:windows_vista:-:sp1:::-::x64:
7	cpe:2.3:o:microsoft:windows_vista:-::::-::x64:*
8	cpe:2.3:o:microsoft:windows_xp:-:sp3::::::
9	cpe:2.3:o:microsoft:windows_xp:-:sp2::::::
10	cpe:2.3:o:microsoft:windows_xp:-:sp2:::professional::x64:

構成4		以上	以下	より上	未満
cpe:2.3:a:microsoft:internet_explorer:8:::::::*
実行環境
1	cpe:2.3:o:microsoft:windows_7:-:::::::*
2	cpe:2.3:o:microsoft:windows_server_2003:-:sp2:::::x64:*
3	cpe:2.3:o:microsoft:windows_server_2008:-:sp2::::::
4	cpe:2.3:o:microsoft:windows_server_2008:-:::::::*
5	cpe:2.3:o:microsoft:windows_server_2008:r2::::::itanium:
6	cpe:2.3:o:microsoft:windows_server_2008:r2::::::x64:
7	cpe:2.3:o:microsoft:windows_vista:-:sp2:::-::x64:
8	cpe:2.3:o:microsoft:windows_vista:-:sp1:::-::x64:
9	cpe:2.3:o:microsoft:windows_vista:-::::-::x64:*
10	cpe:2.3:o:microsoft:windows_xp:-:sp2:::professional::x64:
11	cpe:2.3:o:microsoft:windows_xp:-:sp3::::::
12	cpe:2.3:o:microsoft:windows_xp:-:sp2::::::