Trusted Design

解説:

CVE-2025-21418について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2025-21418は、Windows Ancillary Function Driver for WinSock (AFD.sys) に存在する特権の昇格の脆弱性です。この脆弱性は、入力の不適切な処理に起因するヒープベースのバッファオーバーフローとして説明されており、ローカルの攻撃者がSYSTEM権限を取得することを可能にします。

1.1 影響

この脆弱性が悪用されると、攻撃者は影響を受けるシステム上でSYSTEMレベルの権限を獲得できます。これにより、不正なシステムやネットワークへのアクセス、さらなるシステムやネットワークの悪用につながる可能性があります。また、アプリケーションプログラムが異常終了したり、攻撃者によってPCが制御されたりするなどの被害が発生するおそれがあります。

1.2 深刻度

CVE-2025-21418は、深刻度「高」と評価されており、CVSS v3.1の基本スコアは7.8です。 この脆弱性はCISAのKnown Exploited Vulnerabilities (KEV) カタログに含まれており、実際に悪用が確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性の影響を受ける主なMicrosoft Windowsのバージョンは以下の通りです。

• Windows 10: バージョン 1507, 1607, 1809, 21H2, 22H2
• Windows 11: バージョン 22H2, 23H2, 24H2, 25H2, 26H1
• Windows Server: 2008 R2 SP1, 2012, 2012 R2, 2016, 2019, 2022, 2025, バージョン 23H2

2.2 影響を受ける設定

この脆弱性は、Windows Ancillary Function Driver for WinSock (AFD.sys) 内に存在します。 悪用にはローカルアクセスと、低い特権を持つ認証済みユーザーが必要です。ユーザーとのインタラクションは不要です。

3. 影響を受けた時の兆候

この脆弱性が悪用された場合の兆候として、以下のものが挙げられます。

• 予期しない特権昇格イベントの発生
• 不正アクセスを示すログの記録
• 異常なプロセス作成活動
• アプリケーションプログラムの異常終了
• 攻撃者によるPCの制御

4. 推奨対策

4.1 本対策

Microsoftは、2025年2月の月例セキュリティ更新プログラムとして、CVE-2025-21418に対処する公式パッチをリリースしています。 * Windows Updateを通じて、セキュリティ更新プログラムを速やかに適用してください。 * 更新管理を行っている組織は、Microsoftの月例セキュリティ更新プログラム情報を参照し、早期に更新を展開してください。

4.2 暫定回避策（緩和策）

• DEP (Data Execution Prevention) の常時有効化: bcdeditコマンドを使用して、システムのDEPモードを「AlwaysOn」に設定します。これにより、非実行可能メモリ領域へのコードインジェクションが困難になり、悪用リスクが大幅に低減されます。
• 最小特権の原則の実施: ユーザーが必要なタスクを実行するための最小限の権限のみを持つように徹底し、悪用の潜在的な影響を軽減します。
• アプリケーションホワイトリスティング: 承認されたアプリケーションのみの実行を許可し、不正なコードの実行を防ぎます。
• システム監視: 不審なアクティビティ、特に特権昇格の試みにCME関連の監視を継続的に実施します。
• ファイアウォールの強化: 厳格なファイアウォール設定を維持します。

5. その他解説すべき観点

• CWE (Common Weakness Enumeration): CWE-122: Heap-based Buffer Overflow (ヒープベースのバッファオーバーフロー)
• 攻撃手法: ローカル攻撃。攻撃者はローカルアクセスを持ち、低い特権を持つ認証済みユーザーである必要があります。ユーザー操作は不要です。
• 悪用状況: この脆弱性は、既に攻撃者が悪用している（ゼロデイ攻撃）ことが確認されています。

---

参照したサイト

• CVE-2025-21418: Windows 10 1607 Privilege Escalation Flaw - SentinelOne
• CVE-2025-21418 | High Vulnerability in Microsoft Windows - Appsecure Security
• CVE-2025-21418: Microsoft Windows Ancillary Function Driver for WinSock Heap-Based Buffer Overflow Vulnerability - Safeguard
• CVE-2025-21418: Mitigate Windows EoP - vsociety - Vicarius
• CVE-2025-21418 Microsoft Windows Ancillary Function Driver for WinSock Heap-Based Buffer Overflow - WNE Security
• Microsoft 製品の脆弱性対策について(2025年2月) | 情報セキュリティ - IPA
• Windowsの脆弱性（2025年2月公開）に関するお知らせ -FMWORLD（法人）:富士通
• CVE-2025-21418 - CVE Record
• Windows Ancillary Function Driver for WinSock Elevation... · CVE-2025-21418 - GitHub
• Windows Server 2025 で解決された問題 - Microsoft Learn
• NVD-CVE-2025-21418 - National Vulnerability Database
• 2月のMS月例パッチがリリース - ゼロデイ含む複数脆弱性を解消 - Security NEXT
• Microsoft 製品の脆弱性対策について(2025年2月) | セキュリティNOW! サイバーセキュリティ情報ポータルサイト - SMS DataTech
• マイクロソフト、2025年2月のパッチチューズデーで63件のアップデートを公開 | Reinforz Insight
• 2月のWindows大規模アップデートで63件の脆弱性修正 重大なリモートコード実行の危険性も
• 米当局、悪用が確認されている脆弱性6件に注意喚起 - Security NEXT
• Microsoft fixes two actively exploited zero-days (CVE-2025-21418, CVE-2025-21391)
• 2025年2月の「Windows Update」が公開 ～ゼロデイ、「Critical」を含む57件の脆弱性に対処