Trusted Design

解説:

CVE-2024-38014に関する脆弱性の調査結果を以下にまとめます。

1. 脆弱性の概要

CVE-2024-38014は、Microsoft Windows Installerサービスにおける特権昇格の脆弱性です。この脆弱性は、Windows Installer (msiexec.exe) がMSIパッケージのインストール、修復、アンインストールを実行する際にSYSTEM権限で動作することを利用します。攻撃者は、権限の低いローカル認証済みユーザーとして、Windows Installerのプロセスを操作することで、SYSTEMレベルのアクセス権限に昇格することが可能です。

この脆弱性は、悪用が確認されており、CISAの既知の悪用されている脆弱性（KEV）カタログにも追加されています。

1.1 影響

この脆弱性が悪用されると、攻撃者は影響を受けるマシンを完全に制御できるようになります。具体的には、システム上のすべてのデータの読み取り、システム構成の変更、永続的なマルウェアのインストールなどが可能になります。

1.2 深刻度

• CVSS v3.1 スコア: 7.8 (High)
• CVSS ベクター: AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
  • Attack Vector (AV:L): 攻撃はローカルで行われます。
  • Attack Complexity (AC:L): 攻撃の複雑性は低いです。
  • Privileges Required (PR:L): 攻撃には低い特権が必要です。
  • User Interaction (UI:N): ユーザーの操作は必要ありません。
  • Scope (S:U): スコープは変更されません。
  • Confidentiality Impact (C:H): 機密性への影響は高いです。
  • Integrity Impact (I:H): 完全性への影響は高いです。
  • Availability Impact (A:H): 可用性への影響は高いです。
• EPSS スコア: 12.8% (93.9パーセンタイル)。これは、現在追跡されている脆弱性の中で最も頻繁に標的とされるものの一つであることを示しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は、Windows 10、Windows 11、およびWindows Serverのすべてのサポートされているバージョンに影響を与えます。具体的な影響バージョンは以下の通りです。

• Windows 10: バージョン 1507、1607、1809、21H2、22H2 (およびそれ以前のバージョン)
• Windows 11: バージョン 21H2、22H2、23H2、24H2 (およびそれ以前のバージョン)
• Windows Server: 2008から2022 23H2までのエディション (特に2012、2016、2019、2022が言及されています)

2.2 影響を受ける設定

この脆弱性は、Windows Installerサービス（msiexec.exe）およびその修復機能に存在します。特定の「設定」でこの脆弱性を無効にしたり、回避したりする直接的な方法は、パッチを適用すること以外には示されていません。

3. 影響を受けた時の兆候

この特権昇格の脆弱性について、具体的な「影響を受けた時の兆候」は明確に示されていません。しかし、特権昇格が成功した場合、攻撃者はシステムレベルのアクセス権を取得するため、通常は許可されない管理アクションの実行、マルウェアのインストール、システム構成の不正な変更などが行われる可能性があります。エクスプロイトの過程で、MSI修復機能の操作中に短いコマンドウィンドウが開くことが報告されていますが、信頼性の高い攻撃手法ではこのプロセスを一時停止させることも可能です。

4. 推奨対策

4.1 本対策

• セキュリティ更新プログラムの適用: Microsoftは、2024年9月の月例セキュリティ更新プログラム（Patch Tuesday）の一部として、CVE-2024-38014に対するパッチをリリースしています。このパッチは、管理者権限でMSI修復機能が実行される際に、ユーザーアカウント制御（UAC）プロンプトを表示することで、不正なアクセスを効果的にブロックします。
• セキュリティ更新プログラムは通常、Windows Updateを通じて自動的にダウンロードおよびインストールされます。組織は、これらの更新プログラムを迅速に展開することが強く推奨されます。

4.2 暫定回避策（緩和策）

• ユーザーアクセス制御の強化: ローカルアクセスに関する厳格なポリシーを確立し、最小権限の原則を遵守することで、不正な特権昇格のリスクを低減します。
• 監視ツールの活用: エンドポイント検出および応答（EDR）ソリューションを利用して、疑わしい活動を早期に検出します。
• CISA KEVカタログの指示: CISAは、この脆弱性に対してベンダーの指示に従って緩和策を適用するか、緩和策が利用できない場合は製品の使用を中止するよう求めています。現在、パッチが利用可能であるため、パッチの適用が最も重要な対策です。

参照したサイト

• turingsecure: CVE-2024-38014 - Microsoft Windows Installer Improper Privilege Management Vulnerability
• YouTube: Understanding CVE-2024-38014: Elevation of Privilege in Windows Installer
• Reddit: CVE-2024-38014 0-day - Microsoft Windows MSI Installer - Repair to SYSTEM + msiscan open-source detection tool
• National Institute of Standards and Technology: NVD-CVE-2024-38014
• IPA: Microsoft 製品の脆弱性対策について(2024年9月)
• Tenable: CVE-2024-38014
• SecurityOnline: Windows MSI Installers の脆弱性 CVE-2024-38014 が FIX：以前からの積極的な悪用とは？
• 窓の杜: 「Windows Update」に致命的なゼロデイ脆弱性 ～Microsoftの2024年9月セキュリティパッチ
• Akamai: 2024年9月のPatch Tuesdayに関するAkamaiの見解
• Rapid7 Vulnerability Database: CVE-2024-38014: Improper Privilege Management
• Microsoft: 2024 年 9 月のセキュリティ更新プログラム (月例)
• Cisco Blogs: Microsoft 社が 79 件の脆弱性を公開、ゼロデイ脆弱性
• 富士通: Windowsの脆弱性（2024年9月公開）に関するお知らせ -FMWORLD（法人）
• Alexander V. Leonov: September | 2024 | Alexander V. Leonov
• Security NEXT: MSが月例パッチを公開 - ゼロデイ脆弱性含む79件に対応

他に解説すべき観点

• CISA KEVカタログへの追加: 米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、CVE-2024-38014を「既知の悪用されている脆弱性（KEV）」カタログに追加しており、2024年10月1日までに修正を適用するよう義務付けています。
• 悪用手法の詳細: SEC Consultの研究者Michael Baer氏がこの脆弱性を詳細に分析しており、MSIインストーラの修復機能が悪用されることで、SYSTEM権限に昇格する方法が明らかにされています。特に、MSI修復プロセス中にプログラムの実行を一時停止させることで、攻撃者が表示されるコマンドウィンドウを確実に操作し、権限昇格を容易にする新しい手法が考案されています。
• 検出ツール: SEC Consultチームは、MSIインストーラの潜在的な脆弱性を特定するために、「msiscan」というオープンソースのアナライザツールを公開しています。このツールは、MSIファイルを自動的にスキャンし、安全でない設定や潜在的な特権昇格の経路を検出します。