Trusted Design

解説:

CVE-2020-1027について、以下の観点から解説します。

1. 脆弱性の概要

1.1 影響

Windowsカーネルがメモリ内のオブジェクトを処理する方法に存在する特権の昇格の脆弱性です。この脆弱性が悪用されると、ローカルの攻撃者が低レベルの権限で特別に細工されたアプリケーションを実行し、SYSTEMレベルの権限で任意のコードを実行する可能性があります。これにより、アプリケーションプログラムが異常終了したり、攻撃者によってパソコンが制御されたりする可能性があります。

1.2 深刻度

CVSS v3.1 の基本スコアは 7.8 (High) と評価されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

Microsoft Windows 7 から Windows 10、および Windows Server 2008 R2 SP1 (itanium, x64) が影響を受けます。具体的には、2020年4月14日にリリースされたセキュリティパッチが適用される前のバージョンが対象です。

2.2 影響を受ける設定

この脆弱性は、Windows Kernelがメモリ内のオブジェクトを処理する方法に存在し、特にCSRSS (Client Server Run-time SubSystem) のside-by-sideアセンブリコンポーネントに起因するバッファオーバーフローが原因です。 sxssrv.dll 内の BaseSrvSxsCreateActivationContext 関数がALPC (Advanced Local Procedure Call) を介してWindowsの任意のプロセスからアクセス可能であり、この関数がXMLマニフェストをバイナリデータ構造に解析する際に脆弱性が悪用されます。

3. 影響を受けた時の兆候

不明。 ただし、特権昇格が成功した場合、攻撃者がSYSTEMレベルの権限で任意のコードを実行できるようになるため、その後の不正な活動（マルウェアの実行、設定変更など）が兆候となる可能性があります。

4. 推奨対策

4.1 本対策

Microsoft社から提供されている修正プログラムを適用してください。Windows Updateを利用して、最新のセキュリティ更新プログラムを適用することが推奨されます。この脆弱性はCISA (Cybersecurity and Infrastructure Security Agency) のKnown Exploited Vulnerabilities Catalogにも含まれており、ベンダーの指示に従って更新を適用することが強く求められています。

4.2 暫定回避策（緩和策）

不明。 直接的な暫定回避策は公表されていませんが、一般的には、最小権限の原則を適用し、不審なファイルやアプリケーションの実行を避けるなどの運用上のセキュリティ対策が有効です。

その他解説すべき観点

• 悪用状況: Microsoft社は、この脆弱性が「悪用されたことを認識している」と公表しています。 また、CISAの「Known Exploited Vulnerabilities Catalog」に掲載されており、実際のサイバー攻撃で悪用されていることが示されています。
• エクスプロイトチェーンでの利用: この脆弱性は、過去にChromeのゼロデイ脆弱性（CVE-2020-6418）と組み合わせてエクスプロイトチェーンで使用されたことが報告されています。

参照したサイト

• NVD-CVE-2020-1027 - NIST
• [1-day Analysis] CVE-2020-1027 ( Windows buffer overflow in CSRSS ) - ii4gsp - 티스토리
• Microsoft 製品の脆弱性対策について(2020年4月) | アーカイブ - IPA
• CVE-2020-1027: Windows buffer overflow in CSRSS | 0-days In-the-Wild
• CVE-2020-1027: Windows 10 1507 Privilege Escalation Flaw - SentinelOne
• CVE-2020-1027 — Patch first | CVE Explorer - Peter Bassill
• Windows内核特権提升漏洞（CVE-2020-1027）-企业主机安全-最佳实践 - 天翼云