CVE-2023-28252 の詳細

CVEの情報

説明:
Windows Common Log File System Driver Elevation of Privilege Vulnerability

CVE更新日: 2023-04-11 21:15:25.137000

CVSSバージョン: 3.1

CVSSスコア: 7.8

KEVの情報

KEV更新日: 2023-04-11

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.489730000

EPSS更新日: 2026-10-19 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2023-28252に関する脆弱性調査結果

1. 脆弱性の概要

CVE-2023-28252は、Windows Common Log File System (CLFS) ドライバー (clfs.sys) に存在する特権昇格の脆弱性です。この脆弱性を悪用されると、ローカルの認証された攻撃者がSYSTEM権限でコードを実行できる可能性があります。

この脆弱性は、CLFSドライバーが攻撃者によって操作されたBase Log File (BLF) 構造を解析する際に、ヒープベースのバッファオーバーフローと境界外書き込みの条件が組み合わさることで引き起こされます。これにより、攻撃者はカーネルメモリを破損させ、SYSTEMレベルの特権で任意のコード実行を達成することが可能になります。

2023年4月にMicrosoftがパッチをリリースした時点で、既に悪用が確認されていたゼロデイ脆弱性です。Kasperskyの分析によると、Nokoyawaランサムウェアグループがこの脆弱性を利用してランサムウェアを展開する攻撃が確認されています。

1.1 影響

ローカルの認証された攻撃者が、SYSTEM権限で任意のコードを実行できるようになります。これにより、攻撃者はシステムを完全に制御し、ランサムウェアの展開などを行う可能性があります。

1.2 深刻度

CVSSv3による深刻度は「7.8 (重要)」と評価されています。CISA (Cybersecurity and Infrastructure Security Agency) はこの脆弱性を「Known Exploited Vulnerabilities Catalog」に追加しており、実環境での活発な悪用が確認されていることを示しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

以下のMicrosoft Windowsのデスクトップおよびサーバーバージョンが影響を受けます。

Microsoft Windows 10 (バージョン 1507, 1607, 1809, 20H2, 21H2, 22H2)
Microsoft Windows 11 (バージョン 21H2, 22H2)
Microsoft Windows Server 2008, 2012, 2016, 2019, 2022

分析はWindows 11 21H2 (clfs.sysバージョン 10.0.22000.1574) で行われましたが、Windows 10 21H2、Windows 10 22H2、Windows 11 22H2、Windows Server 2022でも動作することが確認されています。

2.2 影響を受ける設定

特定の脆弱な設定は明記されていませんが、Windows共通ログファイルシステムドライバー (clfs.sys) を使用するWindowsシステム全般に影響があります。

3. 影響を受けた時の兆候

この脆弱性は特権昇格に利用されるため、直接的な「兆候」としてユーザーが認識することは難しい可能性があります。しかし、以下の間接的な兆候が考えられます。

不正なSYSTEMレベルのプロセスと永続化の痕跡: 攻撃者がこの脆弱性を悪用してSYSTEM権限を取得した後、システムに不正なプロセスを起動したり、永続化の仕組みを確立したりする可能性があります。
ランサムウェアの展開: Nokoyawaランサムウェアなど、この脆弱性を利用してランサムウェアが展開される事例が確認されています。したがって、ランサムウェア感染は脆弱性が悪用された結果として現れる兆候となり得ます。
CLFS関連ファイルの異常な変更: 攻撃者はBLFファイルを操作して脆弱性を悪用するため、CLFS関連ファイル (.blfファイルなど) に異常な変更が見られる場合があります。

4. 推奨対策

4.1 本対策

Microsoftが2023年4月に公開したセキュリティ更新プログラムを適用することが、最も推奨される対策です。

Microsoft UpdateまたはWindows Updateの適用: Microsoft UpdateやWindows Updateなどを利用して、セキュリティ更新プログラムを早急に適用してください。
Microsoft Security Update Guideの参照: CVE-2023-28252に関するMicrosoft Security Update Guideを参照し、お使いのWindowsバージョンに適用される特定のKB (Knowledge Base) 記事を確認してください。

4.2 暫定回避策（緩和策）

ベンダーから提供されている回避策は存在せず、パッチの適用が唯一のサポートされている緩和策です。

しかし、SentinelOneは以下の緩和策を提示しています。

アプリケーション許可リストの適用: アプリケーション許可リスト (Windows Defender Application ControlやAppLockerなど) を通じてエンドポイントでのコード実行を制限し、エクスプロイトの配信機会を減らす。
最小特権ポリシーの強制: 最小特権ポリシーを強制することで、初期アクセス時の侵害がすぐにローカルコード実行に繋がらないようにする。
重要なシステムでのローカルログオン権限の制限: 重要なシステムでのローカルログオン権限を制限し、脆弱性をトリガーできるアカウントのプールを減らす。
Windowsカーネルモードドライバーの監査の有効化: Windowsカーネルモードドライバーの監査を有効にし、Sysmonのプロセス作成およびイメージロードイベントを一元化されたSIEM (Security Information and Event Management) に転送する。
CVE-2023-28252を参照するEDRシグネチャによる悪用試行の追跡: Microsoft DefenderまたはサードパーティEDRシグネチャを使用して、CVE-2023-28252を参照する悪用試行を追跡する。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る