Trusted Design

CVE-2025-24054 の詳細

CVEの情報

説明:
External control of file name or path in Windows NTLM allows an unauthorized attacker to perform spoofing over a network.

CVE更新日: 2025-03-11 17:16:27.660000

CVSSバージョン: 3.1

CVSSスコア: 6.5

KEVの情報

KEV更新日: 2025-04-17

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.622700000

EPSS更新日: 2026-10-19 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2025-24054に関する調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2025-24054は、NTLMハッシュ開示スプーフィングに関連する脆弱性です。これは、悪意を持って作成された.library-msファイルを利用して悪用される可能性があります。 この脆弱性は、Windows NTLMにおけるパス名トラバーサルの欠陥（CWE-73）に起因します。 認証されていない攻撃者は、Windowsホストを強制的に攻撃者制御のエンドポイントへNTLM認証情報をネットワーク経由で送信させることができます。 本脆弱性は、以前にパッチが適用されたCVE-2024-43451の亜種であると考えられています。 2025年3月19日以降、この脆弱性を悪用した攻撃が確認されています。 Microsoftは2025年3月11日にこの脆弱性に対するパッチを公開しました。

1.1 影響

成功した場合、ユーザーのNTLMハッシュ（特にNTLMv2-SSPハッシュ）が漏洩します。 攻撃者は、漏洩したハッシュをオフラインでクラックするか、リレー攻撃を実行して被害者ユーザーになりすますことができます。 侵害されたアカウントが高い権限を持ち、適切な緩和策が講じられていない場合、横方向の移動、特権昇格、さらにはドメイン全体の侵害につながる可能性があります。 また、ネットワーク上でのスプーフィングが可能になります。

1.2 深刻度

CVSS 3.1基本スコアは6.5で「中」と評価されています。 CVSS 3.1ベクトルは(CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N)です。 CISAは、この脆弱性を「既知の悪用された脆弱性（KEV）カタログ」に追加しており、実環境での積極的な悪用を確認しています。 Microsoftは当初、この脆弱性の悪用される可能性は「低い」と考えていました。

2. 対象となる環境

この脆弱性は、サポートされているすべてのWindowsクライアントおよびWindows Serverのバージョンに影響を与えます。 最新のWindowsバージョンすべてが影響を受けます。

2.1 影響を受けるOSバージョン

  • Microsoft Windows 10 (1507, 1607, 1809, 21H2, 22H2)
  • Windows 11 (22H2, 23H2, 24H2)
  • Microsoft Windows Server 2008 R2 SP1, Server 2012/2012 R2, Server 2016, Server 2019
  • Microsoft Windows Server 2022, Server 2022 23H2, および Server 2025

2.2 影響を受ける設定

この脆弱性は、Windows Explorerや関連するシェルコンポーネントが、外部ネットワークパスを参照するコンテンツを持つファイルを解析する際にトリガーされます。.library-ms、.url、.lnkなどのシェルが処理する形式のファイルは、UNCパスを受け入れます。 SMB署名やNTLMリレー保護が適切に軽減されていない場合、影響はさらに大きくなります。

3. 影響を受けた時の兆候

主な兆候は、NTLMv2-SSPハッシュの漏洩です。 これは、Windows Explorerが攻撃者によって制御されるリモートサーバーへのSMB認証要求を開始する際に発生します。 ユーザーは、右クリック、ドラッグ＆ドロップ、または悪意のあるファイルを含むフォルダへの移動といった最小限の操作で攻撃がトリガーされるため、すぐに異変に気づかない可能性があります。 攻撃は、この脆弱性や他の脆弱性を悪用するアーカイブを含むDropboxリンクを配布するマルスパムキャンペーンで観測されています。

4. 推奨対策

4.1 本対策

Microsoftが2025年3月11日にリリースしたセキュリティアップデートを適用してください。

4.2 暫定回避策（緩和策）

  • 信頼できないネットワークへのアウトバウンドSMB接続をブロックする。
  • SMB署名とNTLMリレー保護を有効にする。
  • 信頼できないファイルタイプに対する自動プレビューおよびナビゲーションを無効にする。
  • Symantec Data Center Security (DCS)のデフォルトのWindows強化ポリシーは、いくつかの攻撃手法を防止できます。
    • システムがインターネットへの接続を開始するのを防ぎます。
    • 悪意のあるzipファイルや.library-msファイルのダウンロードまたはディスクへの保存を防ぎます。
    • .URLファイルがUNCパスを介してネットワーク接続を開くのを防ぎます。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る