Trusted Design

解説:

CVE-2024-43572について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2024-43572は、Microsoft Management Console (MMC) におけるリモートコード実行 (RCE) の脆弱性です。この脆弱性は、細工された入力の不適切な処理に起因します。攻撃者は、Author Modeが有効なMicrosoft Saved Console (.msc) ファイルを作成し、標的のシステムで任意のコードを実行することが可能になります。これらの悪意あるファイルがAuthor Modeで開かれると、セキュリティ対策を迂回し、不正なコマンドが実行される可能性があります。

この脆弱性は、CISA（サイバーセキュリティ・インフラストラクチャ・セキュリティ庁）のKnown Exploited Vulnerabilities (KEV) カタログに登録されており、実際に悪用されているゼロデイ脆弱性として確認されています。

1.1 影響

攻撃者が脆弱なシステム上で任意のコードを実行する可能性があります。これにより、アプリケーションプログラムの異常終了や、攻撃者によるPCの完全な制御といった被害が発生するおそれがあります。

1.2 深刻度

CVSSv3スコアは7.8で、「HIGH」（高）と評価されています。 Microsoftはこの脆弱性を「重要」としており、CISAのKEVカタログに含まれていることから、CVSSスコア以上に実際に悪用されている深刻な脅威と見なされています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は、Microsoft Management Console (MMC) に影響を与えます。具体的に影響を受けるWindowsのバージョンは以下の通りです。 * Windows 10 Version 1507 * Windows 10 Version 1607 * Windows 10 Version 1809 * Windows 10 Version 21H2 * Windows 10 Version 22H2 * Windows 11 Version 21H2 * Windows 11 Version 22H2 * Windows Server 2008 R2 SP1 (x64)

2.2 影響を受ける設定

MMCのAuthor Modeが有効になっている場合に脆弱性が悪用される可能性があります。

3. 影響を受けた時の兆候

影響を受けたシステムで確認される可能性のある兆候は以下の通りです。 * 予期しないプロセス実行 * 新しいファイルの作成、または既存のシステムファイルの変更 * 異常なネットワーク活動

4. 推奨対策

4.1 本対策

Microsoftから提供されている最新のセキュリティパッチを速やかに適用してください。 Windows Updateを通じて、セキュリティ更新プログラムが自動的にダウンロードおよびインストールされます。企業組織においては、Microsoftのセキュリティ更新プログラム（月例）を参照し、早期に更新プログラムを展開することが推奨されます。

このセキュリティ更新プログラムは、信頼されていないMicrosoft Saved Console (.msc) ファイルが開かれないようにすることで、ユーザーを保護します。

4.2 暫定回避策（緩和策）

• 脆弱性のあるコンソールへのアクセスを制限し、最小権限の原則を適用してください。
• 悪意のある.mscファイルの実行を制限するための緩和スクリプトが提供されています。このスクリプトは、レジストリパス HKLM:\Software\Policies\Microsoft\MMC の存在を確認し、信頼されていない.mscファイルが実行されないように制限します。

他に解説すべき観点

• CISA KEVカタログへの登録: 本脆弱性は2024年10月8日にCISAのKnown Exploited Vulnerabilities (KEV) カタログに追加されました。これは、実際に悪用されたという確かな証拠があり、政府機関は特定の期限までに修正を行うことが義務付けられるため、CVSSスコアだけでは把握できない深刻な脅威であることを意味します。
• 悪用状況: Microsoftは、この脆弱性が「in the wild」（実際に悪用されている）と公表しており、ゼロデイ攻撃として悪用されていたことが確認されています。
• 脆弱性の種類: CWE-707: Improper Neutralization (不適切な無効化) に分類されています。

---

参照したサイト

• vsociety - Vicarius: CVE-2024-43572: Microsoft Management Console Remote Code Execution Vulnerability mitigation script
• Safeguard: CVE-2024-43572: Microsoft Windows Management Console Remote Code Execution Vulnerability
• SentinelOne: CVE-2024-43572: Windows 10 1507 Console RCE Vulnerability
• IPA: Microsoft 製品の脆弱性対策について(2024年10月)
• Cisco Blogs: 実際にエクスプロイトされた脆弱性 2 件と重大な脆弱性 3 件を含む、7 月以降最大のセキュリテイ更新プログラム
• NIST: NVD-CVE-2024-43572
• FMWORLD（法人）:富士通: Windowsの脆弱性（2024年10月公開）に関するお知らせ
• Tenable® Blog: Microsoft's October 2024 Patch Tuesday Addresses 117 CVEs (CVE-2024-43572, CVE-2024-43573)
• innovaTopia: マイクロソフト、10月の月例パッチでゼロデイ5件含む118件の脆弱性に対処（CVE-2024-43573）
• Securelist: Vulnerability landscape analysis for Q4 2024
• Security NEXT: 米当局、「Windows」や「Qualcomm」チップの脆弱性狙う攻撃に注意喚起
• 绿盟科技技术博客: 微软10月安全更新多个产品高危漏洞通告
• Rapid7 Vulnerability Database: CVE-2024-43572: Improper Neutralization
• Microsoft: 2024 年 2 月のセキュリティ更新プログラム (月例)
• JPCERT/CC: 2024年2月マイクロソフトセキュリティ更新プログラムに関する注意喚起