CVE詳細 - CVE-2023-36802-

CVE-2023-36802 の詳細

CVEの情報

説明:
Microsoft Streaming Service Proxy Elevation of Privilege Vulnerability

CVE更新日: 2023-09-12 17:15:15.487000

CVSSバージョン: 3.1

CVSSスコア: 7.8

KEVの情報

KEV更新日: 2023-09-12

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.279090000

EPSS更新日: 2026-10-19 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2023-36802は、Microsoft WindowsのMicrosoft Streaming Service Proxy (mskssrv.sys) カーネルドライバーに存在する特権昇格の脆弱性です。この脆弱性は、すでに積極的に悪用が確認されています。

1. 脆弱性の概要

CVE-2023-36802は、Microsoft Streaming Service Proxy (mskssrv.sys) カーネルドライバーにおけるUse-After-Freeの脆弱性、またはタイプコンフュージョン（型混同）の脆弱性です。この脆弱性により、ローカルの認証された攻撃者が影響を受けるWindowsホスト上でSYSTEM権限を取得することが可能になります。

この脆弱性は、IOCTL (Input/Output Control) 処理中のオブジェクト参照の不適切な追跡とオブジェクトライフサイクルの誤った処理に起因します。特に、FSRendezvousServer::FindObject 関数（パッチ適用後はFSRendezvousServer::FindStreamObject）が、FSStreamReg::PublishRx に渡されるオブジェクトの型を正しく検証しないため、より小さいFSContextRegオブジェクトがより大きいFSStreamRegオブジェクトとして扱われ、結果として境界外メモリへのアクセスが発生します。

1.1 影響

低権限でコードを実行できるローカルユーザーがSYSTEM権限に昇格できます。
悪用に成功すると、ホストを完全に制御し、ユーザーモードの境界に依存するエンドポイントの保護を回避できます。
攻撃者はファイルの読み取り、変更、削除、マルウェアのインストール、高権限を持つ新しいアカウントの作成が可能です。
この脆弱性は、ClopやRaspberry Robinなどのマルウェアによって悪用されたことが知られており、脅威アクターであるEvil Corpもこの脆弱性を悪用したことが確認されています。

1.2 深刻度

CVSS v3.1基本スコア: 7.8 (High)
- 攻撃元区分 (AV): ローカル (L)
- 攻撃の複雑さ (AC): 低 (L)
- 必要な特権レベル (PR): 低 (L)
- ユーザーインタラクション (UI): 不要 (N)
- スコープ (S): 変更なし (U)
- 機密性への影響 (C): 高 (H)
- 完全性への影響 (I): 高 (H)
- 可用性への影響 (A): 高 (H)
EPSSスコア: 75.43% (98.917パーセンタイル)
CISAのKnown Exploited Vulnerabilities (KEV) カタログに掲載されており、実世界での活発な悪用が確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

Microsoft Windows 10 (バージョン 1809, 21H2, 22H2) — x86, x64, ARM64
Microsoft Windows 11 (バージョン 21H2, 22H2)
Microsoft Windows Server 2019
Microsoft Windows Server 2022
具体的には、KB5030211またはKB5030214が適用されていないWindows 10、KB5030219またはKB5030217が適用されていないWindows 11、KB5030214が適用されていないWindows Server 2019、およびKB5030216またはKB503025が適用されていないWindows Server 2022が影響を受けます。

2.2 影響を受ける設定

この脆弱性は、WindowsのマルチメディアフレームワークサービスであるFrame ServerのコアコンポーネントであるMicrosoft Streaming Service Proxy (mskssrv.sys) カーネルドライバーに存在します。このコンポーネントは、ユーザーモードクライアントとカーネルストリーミングサブシステム間の要求を仲介します。影響を受けるmskssrv.sysドライバーが存在する限り、特定の追加設定が有効または無効である必要はありません。

3. 影響を受けた時の兆候

特権昇格の一般的な兆候として、予期しないSYSTEMレベルのプロセス作成、機密ファイルへの不正アクセス、または不明なマルウェア/ソフトウェアのインストールが挙げられます。特権昇格を試みるローカルユーザーアカウントからの疑わしいアクティビティの監視が推奨されます。この脆弱性に特化した、一般的なユーザーが容易に識別できる明確な侵害の兆候は広く公開されていません。

4. 推奨対策

4.1 本対策

Microsoftが2023年9月12日にリリースしたセキュリティアップデートを適用してください。
具体的には、Windows 10にはKB5030211またはKB5030214、Windows 11にはKB5030219またはKB5030217、Windows Server 2019にはKB5030214、Windows Server 2022にはKB5030216またはKB503025をインストールしてください。
最も脆弱なバージョン（Windows 10 21H2、Windows 11 21H2、Windows Server 2019、およびWindows Server 2022）を優先してパッチを適用することが推奨されます。
CISAはこの脆弱性が積極的に悪用されているため、2023年10月3日を修正期限としています。

4.2 暫定回避策（緩和策）

可能な限りローカルユーザーのアクセスを制限し、最小特権の原則を徹底してください。
特権昇格を試みるローカルユーザーアカウントからの疑わしいアクティビティを監視してください。
パッチの適用や一般的なシステム強化のプラクティス以外に、特定のソフトウェアベースの一時的な回避策は広く公開されていません。

5. 他に解説すべき観点

実世界での悪用: この脆弱性は、実世界で活発に悪用されていることが確認されており、CISAのKEVカタログに登録されています。
概念実証 (PoC): 複数の概念実証エクスプロイトがGitHubで公開されています。
発見者: Guanghui Xia (@ze0r) とHebei HuaCe、Quan Jin (@jq0904) とDBAPPSecurity WeBin Lab、Valentina Palmiotti (IBM X-Force)、Microsoft Threat Intelligence、Microsoft Security Response Centerなど、複数の研究者によって報告されました。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る