セキュリティの
学び場

今回の解説ニュース

Windows 10に権限昇格の脆弱性が発見されたということです。Windows 10のパソコンを複数のユーザで共有している方は、マイクロソフトが公開している回避策の実施を検討してください。

今回公表された脆弱性はWindows 10の重要なファイルに対して、管理者ではないユーザが「読み取りと実行」のできる権限が付与されていることと、Windowsが作成したバックアップから重要なファイルにアクセスすることができ、結果としてログインしたユーザをシステム権限へ昇格させたり、他のユーザへ成りすましたりすることができるということです。

記事が公開されている7月29日現在、またこの配信を収録している8月4日時点でも更新プログラムは提供されておらず、代わりに暫定の回避策がマイクロソフトから提供されていますので、パッチが出る前に対策をしておきたい方はチェックしてみてください。

本脆弱性の解説

今回、公表されたCVE-2021-36934の脆弱性について、少し技術的な内容になりますが、できるだけわかりやすく説明します。

CVEとは、Common Vulnerabilities and Exposuresの略で、脆弱性に固有の番号を付与することで、同じ脆弱性であると認識できるようにした事典です。CVE-2021-36934であれば、2021年に発見された36934番の脆弱性であることがわかります。

今回、設定不備が見つかったファイルはWindowsフォルダのsystem32ファルダのconfigフォルダ内にあるファイルです。configフォルダの中には、Security Accounts Manager、略してSAMデータベースと呼ばれる、Windowsにログインするユーザの暗号化されたパスワードなど重要なファイルが保存されています。このフォルダ内のファイルに「読み取りと実行」の権限が付与されていることが、今回の設定不備を脆弱性とした原因の一つです。

この脆弱性のリスクが顕在化するもう一つの原因として、Windowsのバックアップ機能であるVSS（Volume Shadow Copy Service）が挙げられています。SAMデータベースは通常、管理者権限でもアクセスすることができません。ところが、VSSを使って取られたシャドーコピーと呼ばれるバックアップにはSAMデータベースが含まれており、さらに管理者ではないユーザもアクセスが可能であるということです。

VSSはデフォルトで無効とされていますが、シャドーコピー自体は128GBを超えるシステムドライブでWindows Updateを行ったり、Windowsインストーラーを使うと自動で作成されるため、ほとんどのユーザが影響を受ける可能性があります。ちなみに、自分が使っているWindows 10でVSSは実行されていませんでしたが、シャドーコピーは保存されていました。

本脆弱性への対策方法について

脆弱性の対策について、マイクロソフトが公開している情報も引用して説明します。すべての操作は管理者として実行する必要があります。ただし、Windowsの重要なシステムファイルを操作することになりますので、自信のない方は実行するかどうかは慎重に検討することをお勧めします。

まず、問題となっているWindowsフォルダのsystem32ファルダのconfigフォルダ内のすべてのファイルに対してアクセスを制限しましょう。マイクロソフトが公表している回避策では、親フォルダであるconfigフォルダの権限を継承するコマンドが提供されています。

続いて、脆弱な状態で取得されてしまったシステムリストアポイントやシャドーコピーを削除しましょう。システムリストアポイントが必要であれば、先に説明したアクセスの制限をした後に再取得してください。シャドーコピーが削除されたかはvssadminコマンドを実行することで確認することができます。

ただし、これらは技術的に難しい操作で、失敗するとパソコンが動かなくなる可能性があります。今回の脆弱性で最も大きな脅威の一つは、パソコンにログインするWindowsのパスワードが解析されてしまうことです。もし、1台のパソコンで1つのユーザしか使っていなかったり、Administratorのパスワードがパソコンの利用者に知られても問題ない場合は、回避策の適応を見送って更新プログラムが提供されることを待ってもいいかもしれません。もちろん、マルウェア対策などの基本的なセキュリティ対策がなされていることが前提となります。