🛡️ CVE-2026-21509 — Microsoft Office ゼロデイ

ステータス: 活発に悪用中 → 緊急パッチ公開済み 深刻度: 🔴 高 リスク種別: セキュリティ機能バイパス

🔍 概要

CVE-2026-21509 は、Microsoft Office における深刻な脆弱性であり、攻撃者が Office を騙して悪意のあるファイルを信頼させることで、組み込みのセキュリティ保護をバイパスすることを可能にします。

これらのファイルを開くと、以下のことが可能になります:

• 安全対策をすり抜ける
• 隠された埋め込みコンテンツを読み込む
• マルウェアインストールなどの二次攻撃を可能にする

📌 主要な詳細

💻 影響を受ける製品

• Microsoft Office 2016
• Microsoft Office 2019
• Office LTSC 2021
• Office LTSC 2024
• Microsoft 365 Apps for Enterprise

⚠️ 攻撃の仕組み

攻撃者は、フィッシングやソーシャルエンジニアリングを介して悪意のある Word または Excel 文書を送信します。 ユーザーがファイルを開くと、Office の信頼メカニズムがバイパスされ、有害なコンテンツが実行されやすくなります。

🛠️ 使用方法とテスト手順

1. インストール: pip install python-docx olefile

2. 実行: python3 CVE-2026-21509.py --output test.docx --clsid YOUR_CLSID

3. テスト: パッチ適用前の脆弱な Office VM で test.docx を開きます。ProcMon で監視し、バイパスが成功した場合、OLE はブロックプロンプトなしで読み込まれます。

4. 拡張:

   • oletools を使用（pip install oletools）: rtfobj で RTF OLE を作成、または olevba で VBA 自動実行を追加。
   • CLSID を安全でない COM（例: MSCOMCTL.OCX コントロール）に置き換え（OleViewDotNet を使用）。
   • 完全なバイパスの場合: 悪意のあるプロパティを持つ ActiveX を埋め込む（CVE-2017-11882 などの OLE エクスプロイトのパターンを調査）。
   • レジストリの kill bit を適用（アドバイザリに記載）→ 再テストしてブロックを確認。

CVE-2026-21509 の Python PoC が（必要なライブラリがインストールされたシステム上で）正常に動作した場合、段階的に表示される内容は以下のとおりです:

1. スクリプトの実行（ターミナル出力）

python3 CVE-2026-21509.py --output test.docx --clsid EAB22AC3-30C1-11CF-A7EB-0000C05BAE0B

期待される成功出力:

OLE binary saved as embedded_ole.bin (embed manually in DOCX if needed via tools like oletools)
Generated malicious DOCX: test.docx
Open in vulnerable Office (pre-patch) to test bypass. Use isolated VM!

• 主な兆候:
  • エラーなし（例: ImportError、OSError、XML の問題がない）。
  • 2 つのファイルが作成される: test.docx（悪意のある文書）と embedded_ole.bin（参照用の OLE ストリーム）。
  • スクリプトは数秒で実行される（高速なファイル生成）。

失敗した場合（例: python-docx または olefile がない）:

ModuleNotFoundError: No module named 'docx'

修正: pip install python-docx olefile

2. 生成された DOCX を脆弱な Office で開く

• 脆弱な Office の場合（2026年1月26日より前のパッチ、例: パッチ未適用の Office 2016/2019）:

  • ファイルは通常どおり開く（バイパスされた場合は Protected View プロンプトなし、または「ブロックされた」OLE 警告なし）。
  • 埋め込まれた OLE オブジェクトは、サイレントに読み込まれるか、プレースホルダーアイコン/コンテンツを表示します。
  • 成功の指標（監視ツールによる）:
    • ProcMon（プロセスモニター）: ブロックイベントなしで OLE 関連のレジストリ読み取り（例: HKCR\CLSID\{EAB22AC3-...} 配下）を確認。
    • OLE コントロールの「セキュリティ警告」ダイアログなし。
    • ペイロードが拡張されている場合（例: 実際の研究での VBA やシェルコード）: コード実行の可能性（例: calc.exe が起動、ファイル書き込みなど）。
  • 視覚的表示: 文書にテキスト（「Test document...」）+ 埋め込みオブジェクトのアイコン/ボックスが表示される（空白または「パッケージ」として表示される場合あり）。

• パッチ適用済み Office の場合（またはレジストリの kill bit 適用時）:

  • OLE オブジェクトがブロックされる: 「このオブジェクトは作成できません」または類似の警告。
  • 文書は開くが、埋め込みコンテンツは読み込まれない（グレーのボックスまたはエラープレースホルダー）。

クイックサマリーテーブル

プロのヒント:

• Windows VM スナップショットでテストする（研究用に Defender を一時的に無効化）。
• 拡張: oletools を使用して DOCX を検査（olevba test.docx または rtfobj）し、実際の悪意のある OLE データを追加。
• OLE が読み込まれない場合: CLSID が無効な可能性があるため、OleViewDotNet.exe（無料ツール）から既知の安全でないものに置き換える。

影響を受ける場合は、すぐに Office にパッチを適用してください！実行して特定の出力/エラーが発生した場合は、ここに貼り付けてデバッグしてください。😈

🛠️ 修正と緩和策

✅ パッチ状況

• Microsoft は 2026 年 1 月に緊急の帯域外更新プログラムをリリースしました。
• Microsoft 365 ユーザーは通常、Office を再起動するだけで済みます。
• Office 2016/2019 ユーザーは、更新プログラムを手動でインストールする必要があります。

🔒 一時的な保護（パッチ未適用の場合）

• パッチ適用までの間、悪意のある動作をブロックするためのレジストリベースの緩和策が利用可能です。

⚠️ 免責事項:

この情報は、認識と防御的なセキュリティ目的のみで提供されています。誤用や不正確さについての責任は負いかねます。