🔴 CVE-2022-30190 — Follina (MSDT RCE) ラボ

CVE Severity Status Lab IDS

研究者: Abhimanyu Rawat 役割: 技術調査＆サイバーセキュリティ運用インターン 日付: 2026年5月8日

📌 Follinaとは？

CVE-2022-30190（通称 "Follina"）は、Microsoft Windows におけるゼロデイのリモートコード実行（RCE）脆弱性であり、攻撃者が被害者に Word文書を開かせる だけで任意のコマンドを実行できるようになります。マクロは不要です。

これは、Microsoft Office の外部テンプレート機能を介して、正規の Windows 診断プロトコルである ms-msdt:// URI ハンドラを悪用することで機能します。

🧪 ラボ環境

⚠️ 免責事項: このラボは、教育目的の研究のみを目的として、完全に隔離された VMware 環境で実施されました。実際のシステムは対象にされていません。

🔴 攻撃チェーン

Attacker (Kali)                          Victim (Windows 10)
      │                                         │
      │── python3 follina.py ──────────────────►│ clickme.docx served
      │                                         │
      │                                    Word opens doc
      │                                         │
      │◄── GET /exploit.html ───────────────────│ ms-msdt:// triggered
      │                                         │
      │── exploit.html sent ───────────────────►│
      │                                         │
      │                                   MSDT executes
      │                                   calc.exe  ✅

ステージ1: follina.py でペイロードを生成 → clickme.docx + exploit.html ステージ2: Windows VM が Word 2019 で文書を開く → 「編集を有効にする」をクリック ステージ3: Word が ms-msdt:// ハンドラ経由で Kali HTTP サーバーから exploit.html を取得 ステージ4: MSDT が calc.exe を実行 — 任意のコード実行を確認

🟢 Suricata IDS 検出

カスタム Suricata ルール SID:9000002 が fast.log に 8回記録されました：

05/08/2026-07:21:31 [**] [1:9000002:1] CVE-2022-30190 Follina exploit.html Fetch Detected [**]
[Classification: A Network Trojan was detected] [Priority: 1]
{TCP} 192.168.153.129:51278 -> 192.168.153.128:8000

使用した検出ルール：

alert http any any -> any any (msg:"CVE-2022-30190 Follina exploit.html Fetch Detected"; flow:established,to_server; content:"exploit.html"; http_uri; nocase; classtype:trojan-activity; sid:9000002; rev:1;)

📁 このリポジトリ内のファイル

🛡️ 緩和策

KB5014699 を適用してください — 2022年6月14日リリース。Windows から ms-msdt:// URI ハンドラを完全に削除します。

パッチがインストールされていることを確認します：

wmic qfe list | findstr "5014699"

🗺️ MITRE ATT&CK マッピング

テクニックID	名称
T1059.003	コマンドおよびスクリプトインタープリター: Windows コマンドシェル
T1204.002	ユーザー実行: 悪意のあるファイル
T1190	公開アプリケーションの悪用
T1105	イングレスツール転送

攻撃者OS	Kali Linux — `192.168.153.128`
被害者OS	Windows 10 Build 19041.1（未パッチ）
Office バージョン	Microsoft Office 2019 Version 1808
IDS	Suricata 8.0.4
エクスプロイトツール	chvancooten/follina.py
ネットワーク	隔離されたVMware NAT — `192.168.153.0/24`

`CVE-2022-30190-Follina-Technical-Breakdown.docx`	完全な技術調査記事
`suricata_follina_rules.rules`	カスタム Suricata IDS 検出ルール
`exploit.html`	Follina ペイロード（ラボ用のみ）
`clickme.docx`	ラボで使用したルアー文書（ラボ用のみ）
`screenshot*.png`	ラボのエビデンススクリーンショット

人気

CVE-2022-30190-Follina-Lab

人気