Trusted Design

CVE-2018-8440 の詳細

CVEの情報

説明:
An elevation of privilege vulnerability exists when Windows improperly handles calls to Advanced Local Procedure Call (ALPC), aka "Windows ALPC Elevation of Privilege Vulnerability." This affects Windows 7, Windows Server 2012 R2, Windows RT 8.1, Windows Server 2008, Windows Server 2012, Windows 8.1, Windows Server 2016, Windows Server 2008 R2, Windows 10, Windows 10 Servers.

CVE更新日: 2018-09-13 00:29:04.333000

CVSSバージョン: 3.1

CVSSスコア: 7.8

KEVの情報

KEV更新日: 2022-03-28

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.183860000

EPSS更新日: 2026-10-18 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2018-8440について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2018-8440は、Windows Advanced Local Procedure Call (ALPC) の処理における特権の昇格の脆弱性です。WindowsのタスクスケジューラのALPCインターフェースに存在し、ローカルの非特権ユーザーがSYSTEM権限を取得できる可能性があります。具体的には、WindowsタスクスケジューラのSchRpcSetSecurity関数が、権限チェックなしに任意のDACL (Discretionary Access Control List) を設定できてしまうことに起因します。これにより、ローカルユーザーがシステム上の任意のファイルのアクセス許可を変更することが可能になります。

1.1 影響

  • 特権の昇格: ローカルの非特権ユーザーがSYSTEM権限を取得できます。
  • 任意のコード実行: 攻撃者がローカルシステムのセキュリティコンテキストで任意のコードを実行できるようになります。
  • ファイル権限の変更: システム上の任意のファイルのアクセス許可を変更する可能性があります。
  • 実環境での悪用: 本脆弱性を悪用したマルウェア「PowerPool」が確認されており、ランサムウェアキャンペーンで使用されたことが知られています。CISAの既知の悪用された脆弱性（KEV）カタログにも追加されています。

1.2 深刻度

  • CVSS v3 基本評価: 7.8 (High)。
  • CISA KEVへの追加: CISAのKnown Exploited Vulnerabilities (KEV) カタログに2022年3月28日に追加されています。これは、この脆弱性が実際に実環境で標的に対して悪用されたという信頼できる証拠があることを意味し、CVSSスコア単独よりも強いシグナルとなります。

2. 対象となる環境

2.1 影響を受けるOSバージョン

Microsoft Windowsが影響を受けます。具体的には以下のバージョンが挙げられます。

  • Windows 7
  • Windows 8.1
  • Windows RT 8.1
  • Windows 10 (バージョン 1607, 1703, 1709, 1803を含む)
  • Windows Server 2008
  • Windows Server 2008 R2
  • Windows Server 2012
  • Windows Server 2012 R2
  • Windows Server 2016
  • Windows Server バージョン 1709, 1803
  • Windows 10 Servers

2.2 影響を受ける設定

本脆弱性は、WindowsタスクスケジューラのAdvanced Local Procedure Call (ALPC) インターフェース、特にSchRpcSetSecurity関数の処理に存在する欠陥であり、特定の「設定」というよりは、Windowsのデフォルトの動作に起因します。

3. 影響を受けた時の兆候

この脆弱性の悪用が成功した場合の直接的な兆候は、攻撃者がSYSTEM権限で任意のコードを実行することであるため、特定のシステムログやプロセスから直接的な「兆候」を特定することは難しい場合があります。しかし、関連するマルウェア（例: PowerPool）がこのエクスプロイトを利用してユーザーを感染させることが確認されています。Quick Healは、この脆弱性に対するTrojan.Win64.Trojan.IGenericという検出をリリースしています。

一般的な特権昇格や任意のコード実行の兆候としては、不審なプロセス、予期しないシステム設定の変更、異常なネットワーク通信などが考えられますが、CVE-2018-8440に特化した具体的な兆候は、検索結果では詳細に述べられていません。

4. 推奨対策

4.1 本対策

  • Microsoftが提供するアップデートの適用: Microsoftは、本脆弱性に対処するためのセキュリティ更新プログラムを2018年9月11日にリリースしています。Microsoftが提供する情報に基づき、Windows Updateを適用することが最も推奨される対策です。

4.2 暫定回避策（緩和策）

  • ACLの変更: JVN iPediaによると、本脆弱性に対応するワークアラウンドとして、特定のACL (Access Control List) を設定することで攻撃コードの実行がブロックされたと報告されています。
    • 注意点: このワークアラウンドは、レガシーなタスクスケジューラインターフェース経由でのタスク登録、SCCM (System Center Configuration Manager) や SCEP (System Center Endpoint Protection) に関連するタスクなどに副作用を及ぼす可能性があります。このワークアラウンドを実施する際には、事前に十分な検証を行うことが強く推奨されます。

5. 不明点

  • 影響を受ける設定：ALPCインターフェースの特定のSchRpcSetSecurity関数の不備は特定されていますが、これ以外に特定のユーザー設定やシステム設定が脆弱性の有無に影響を与えるかは明確ではありません。
  • 影響を受けた時の兆候：PowerPoolマルウェアがこの脆弱性を利用したという情報がありますが、この脆弱性自体に特有のシステムレベルの明確な兆候は具体的に記載されていません。

6. 他に解説すべき観点

  • ゼロデイ脆弱性: 本脆弱性は、Microsoftがパッチをリリースする前に既に悪用が確認されていたゼロデイ脆弱性でした。
  • エクスプロイトコードの公開: 2018年8月27日に「SandboxEscaper」と名乗るセキュリティ研究者によって公開エクスプロイトコードがリリースされました。
  • 実環境での悪用: CVE-2018-8440は、その公開後すぐにPowerPoolマルウェアによって悪用され、ランサムウェアキャンペーンに利用されたことが確認されています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る