セキュリティの
学び場

SHIFT SECURITY セキュリティの学び場 ニュース解説 Microsoft Windows 10にシステムフォルダーのACL設定不備による権限昇格の脆弱性

Microsoft Windows 10にシステムフォルダーのACL設定不備による権限昇格の脆弱性

目次
  • 今回の解説ニュース
  • 本脆弱性の解説
  • 本脆弱性への対策方法について

こちらの記事は、2021年8月4日時点の情報になります。最新の情報はマイクロソフトの公式サイトにてご確認ください。セキュリティ専門家の松野によるニュース解説ラジオ「今日の10分セキュリティラジオ」の放送内容を文字起こししご紹介しています。

今回の解説ニュース

Microsoft Windows 10にシステムフォルダーのACL設定不備による権限昇格の脆弱性

独立行政法人情報処理推進機構(IPA)および一般社団法人JPCERT コーディネーションセンター(JPCERT/CC)は7月30日、Microsoft Windows 10におけるシステムフォルダーのACL設定不備による権限昇格の脆弱性について発表した。(記事はこちら)

【お届けするニュースはサイバーセキュリティ専門ニュースサイト「ScanNetSecurity」の提供でお送りしています。】

Windows 10に権限昇格の脆弱性が発見されたということです。Windows 10のパソコンを複数のユーザで共有している方は、マイクロソフトが公開している回避策の実施を検討してください。

今回公表された脆弱性はWindows 10の重要なファイルに対して、管理者ではないユーザが「読み取りと実行」のできる権限が付与されていることと、Windowsが作成したバックアップから重要なファイルにアクセスすることができ、結果としてログインしたユーザをシステム権限へ昇格させたり、他のユーザへ成りすましたりすることができるということです。

記事が公開されている7月29日現在、またこの配信を収録している8月4日時点でも更新プログラムは提供されておらず、代わりに暫定の回避策がマイクロソフトから提供されていますので、パッチが出る前に対策をしておきたい方はチェックしてみてください。

本脆弱性の解説

今回、公表されたCVE-2021-36934の脆弱性について、少し技術的な内容になりますが、できるだけわかりやすく説明します。

CVEとは、Common Vulnerabilities and Exposuresの略で、脆弱性に固有の番号を付与することで、同じ脆弱性であると認識できるようにした事典です。CVE-2021-36934であれば、2021年に発見された36934番の脆弱性であることがわかります。

今回、設定不備が見つかったファイルはWindowsフォルダのsystem32ファルダのconfigフォルダ内にあるファイルです。configフォルダの中には、Security Accounts Manager、略してSAMデータベースと呼ばれる、Windowsにログインするユーザの暗号化されたパスワードなど重要なファイルが保存されています。このフォルダ内のファイルに「読み取りと実行」の権限が付与されていることが、今回の設定不備を脆弱性とした原因の一つです。

この脆弱性のリスクが顕在化するもう一つの原因として、Windowsのバックアップ機能であるVSS(Volume Shadow Copy Service)が挙げられています。SAMデータベースは通常、管理者権限でもアクセスすることができません。ところが、VSSを使って取られたシャドーコピーと呼ばれるバックアップにはSAMデータベースが含まれており、さらに管理者ではないユーザもアクセスが可能であるということです。

VSSはデフォルトで無効とされていますが、シャドーコピー自体は128GBを超えるシステムドライブでWindows Updateを行ったり、Windowsインストーラーを使うと自動で作成されるため、ほとんどのユーザが影響を受ける可能性があります。ちなみに、自分が使っているWindows 10でVSSは実行されていませんでしたが、シャドーコピーは保存されていました。

本脆弱性への対策方法について

脆弱性の対策について、マイクロソフトが公開している情報も引用して説明します。すべての操作は管理者として実行する必要があります。ただし、Windowsの重要なシステムファイルを操作することになりますので、自信のない方は実行するかどうかは慎重に検討することをお勧めします。

まず、問題となっているWindowsフォルダのsystem32ファルダのconfigフォルダ内のすべてのファイルに対してアクセスを制限しましょう。マイクロソフトが公表している回避策では、親フォルダであるconfigフォルダの権限を継承するコマンドが提供されています。

続いて、脆弱な状態で取得されてしまったシステムリストアポイントやシャドーコピーを削除しましょう。システムリストアポイントが必要であれば、先に説明したアクセスの制限をした後に再取得してください。シャドーコピーが削除されたかはvssadminコマンドを実行することで確認することができます。

ただし、これらは技術的に難しい操作で、失敗するとパソコンが動かなくなる可能性があります。今回の脆弱性で最も大きな脅威の一つは、パソコンにログインするWindowsのパスワードが解析されてしまうことです。もし、1台のパソコンで1つのユーザしか使っていなかったり、Administratorのパスワードがパソコンの利用者に知られても問題ない場合は、回避策の適応を見送って更新プログラムが提供されることを待ってもいいかもしれません。もちろん、マルウェア対策などの基本的なセキュリティ対策がなされていることが前提となります。

Voicyでニュース解説ラジオ配信中!

今日の10分セキュリティラジオにて毎週月・水・金にセキュリティの最新ニュースを取り上げ解説を行っています。隙間の時間の情報収集にぜひお役立てください!

この記事の著者 セキュラジチーム

話題になっているセキュリティニュースやセキュリティに関する疑問を専門家の解説と個性豊かなパーソナリティたちがお送りしています。1日10分で、気軽にセキュリティの知識を深めることができます。放送は月曜・水曜・金曜の朝7時15分。

\ 記事をシェアする /

Contact

お見積り・ご相談など、お気軽にご相談ください

ご相談・ご質問はこちら

お問い合わせ

お見積り依頼はこちら

お見積り依頼

資料請求はこちら

資料請求

お電話でのご相談はこちら
(平日10:00~18:00)

TEL.050-5532-3255
サイトTOPへ