Firefox 0-day CVE-2019-17026: What you can do to prepare and remediate
2020年1月8日 において、Mozillaは、実環境でコンピュータを標的としていることが確認された悪用可能な脆弱性を修正するための重要な更新を発表しました。 Firefoxはこの脆弱性を修正するためのアップデート（バージョン 72.0.1）をリリースしましたが、古いバージョンは依然としてリスクにさらされています。 詳細については、 、、およびMozillaのセキュリティ情報 をご参照ください。
Taniumをご利用のお客様は、この脆弱性を企業全体規模で迅速に特定し、対策を講じることができます。以下の記事では、標準機能を活用した一般的な事例をいくつかご紹介します。
Tanium Interact を使用すれば、脆弱なエンドポイントを迅速に特定できます
Taniumのリアルタイム可視化機能により、お客様は自社の環境について、最新かつ正確な情報を把握することができます。 以下のInteractクエリを使用すると、オンラインのエンドポイントにおいてこの脆弱性を素早く検索することができます：
脆弱性のある Mozilla Firefox のインストール：
「Installed Applications:Name」に「Mozilla Firefox」が含まれるインストール済みアプリケーションを、以下の条件を満たすすべてのマシンから取得します：（Installed Application Version[Mozilla Firefox] < 72.0.1 かつ Installed Applications が “^Mozilla Firefox(?!.ESR（）。*$” )
脆弱性のある Mozilla Firefox ESR のインストール環境：
「Installed Applications:Name」に「Mozilla Firefox」が含まれるインストール済みアプリケーションを、以下の条件を満たすすべてのマシンから取得します：（インストール済みアプリケーションのバージョン[Mozilla Firefox] < 68.4.1 かつ インストール済みアプリケーションが「^Mozilla Firefox.ESR.$」に一致する場合） )
オフラインになっている可能性のある資産について報告するには、Tanium Asset をご利用いただくか、質問を保存して定期的に配信することができます。 詳細については、こちらのTaniumの 、、およびコミュニティの投稿をご覧ください：
Assetを使えば、完全かつ詳細なレポートを簡単に作成できます
Tanium Assetは、包括的なエンドポイントデータに関するレポートを提供し、オンラインおよびオフラインのホスト双方のデータを含んでいます。 Asset を使用してこの脆弱性を報告するには、Asset に「インストール済みアプリケーション」を単純属性として追加し、バージョンを表示するカスタムレポートを作成してください。 そうすれば、ご自身の環境にあるFirefoxの脆弱性のあるバージョンについて報告することができます。
Asset を使用したレポート作成に関する詳細については、 、、および をご覧ください。
Asset でのレポート作成に関する詳細については、 および をご覧ください。
Tanium Comply を使用して、脆弱な Firefox インスタンスを特定します
CVEが （）のNational Vulnerability Database（）に正式に公開されると、Complyが利用しているTanium Vulnerability Library（TVL）は自動的に更新され、その問題に対処するために必要な影響範囲の特定や是正措置に関する情報を確認するための適切なチェックが追加されます。 これは、Comply サービスで標準的な脆弱性スキャンを実行することで特定されます。
注： 1月9日,/2020の時点で、参照されているCVEは依然として「予約済み」の状態にあり、まだ正式に審査され、NVDに公開されていません。
脆弱性または特定のCVEに基づいてレポートを作成する方法の詳細については、 （）をご参照ください。
Tanium Threat Response を使用して、攻撃を受けたエンドポイントを特定し、調査してください
悪用可能な脆弱性が存在する場合はいつでも、侵害されたマシンを特定し、発見された事象を調査する必要があります。 ユーザーが、悪用される可能性のあるシステムをどのように探せばよいか、その例をいくつかご紹介します：
- 不審なプロセスの親プロセス： Taniumでは、firefox.exeから生成された不審なプロセスについて、リアルタイムでアラートを発信したり、過去の履歴を検索したりすることができます。
- プロセスメモリ分析： Taniumは、ロードされているDLLの一覧表示、注入されたスレッドの特定、不審なミューテックスの一覧表示、およびその他のメモリ内アーティファクトの列挙を行い、システムへの侵害の有無を判断するのに役立ちます。
- 永続化メカニズム： エクスプロイト後の一般的な活動として、システム上に永続的な足場を確立することが挙げられます。 Taniumは、環境内のすべての永続化メカニズムを列挙し、異常なエントリを特定することができます。
- Tanium Signals： Taniumの脅威インテリジェンスフィード「Tanium Signals」は、侵害を示唆する初期またはその後の活動を特定するように設計されています。 Signalsは、MITRE ATT&CKフレームワークに対応した攻撃行動をリアルタイムで監視します。
Taniumで返信する
Taniumのユーザーは、感染を未然に防ぐか、脆弱なホストを修復することができます。 この脆弱性に対して、以下のような対応策をご検討ください：
- Tanium Deploy を使用してアップグレードしてください。 Tanium Deploy を使用して、Firefox を管理し、Windows オペレーティングシステム向けに利用可能な最新バージョンにアップグレードしてください。 Deployには、Firefoxのインストール、アップグレード、またはアンインストール用に事前設定済みの「ギャラリー」が用意されています。
- Core によるアップグレード。 Tanium Core を使用すると、カスタムパッケージを作成し、脆弱性のあるエンドポイントに更新されたソフトウェアを配信することができます。 カスタムパッケージの作成に関する詳細情報はこちらをご覧ください： 、、こちらをご覧ください：。
- 感染したシステムを隔離してください。 システムが侵害された疑いがある場合は、復旧が完了するまで、そのシステムを隔離することをご検討ください。 システムの隔離に関する詳細情報（ 、）については、こちら（）をご覧ください。 ネットワーク隔離に関する情報は、 、、およびでご確認いただけます。
- Tanium Protect を使用して、脆弱性のあるバージョンをブロックしましょう。 Tanium Protect を使用すると、Firefox の脆弱性のあるバージョンが修正されるまで、その実行をブロックしたり、警告を表示したりすることができます。
- Core を使用して、脆弱性のあるバージョンを削除します。 Tanium では、Firefox の脆弱性のあるバージョンを実行しているホストに対して、「プロセス終了」アクションを定期的に実行するように設定できます。
ゼロデイ攻撃は、その性質上、当初は入手できる情報が限られていることがよくあります。追加の関連情報が入り次第、本記事は随時更新してまいります。 ご不明な点がございましたら、担当のテクニカルアカウントマネージャーまでお問い合わせください。
Taniumの実際の動作をご覧になりませんか？ の個別デモをご予約いただくか、毎週開催されているウェビナーにご参加ください。 「 」の今後のイベント（）にて、当社のTaniumエキスパートにご相談ください。
