Trusted Design

CVE-2025-33073 の詳細

CVEの情報

説明:
Improper access control in Windows SMB allows an authorized attacker to elevate privileges over a network.

CVE更新日: 2025-06-10 17:23:02.967000

CVSSバージョン: 3.1

CVSSスコア: 8.8

KEVの情報

KEV更新日: 2025-10-20

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.826990000

EPSS更新日: 2026-10-20 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2025-33073について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2025-33073は、Windows Server Message Block (SMB) クライアントにおける「不適切なアクセス制御」の脆弱性です。この脆弱性は、認証リレー攻撃の一種であり、NTLMリフレクション攻撃を可能にします。攻撃者は、標的のSMBクライアントサービスを欺いて、ローカル認証を実行させることが可能になります。

1.1 影響

この脆弱性を悪用することで、認証されたリモート攻撃者は、SMB/NTLM処理の論理的な欠陥を悪用し、SMB署名が強制されていない場合に、NT AUTHORITY\SYSTEMへの特権昇格を達成できます。攻撃が成功すると、侵害されたホスト上でローカルSYSTEM権限を獲得し、SAMハッシュのダンプなどが可能になります。これにより、影響を受けるマシン上でSYSTEMとしてのコード実行が可能となり、ラテラルムーブメント、永続化、資格情報へのアクセス、ドメイン拡張につながる可能性があります。

1.2 深刻度

CVE-2025-33073は高 severity の脆弱性です。CVSS v3.1スコアは8.8と評価されています。米国のCISA（Cybersecurity and Infrastructure Security Agency）は、この脆弱性を「既知の悪用されている脆弱性（KEV）カタログ」に追加しており、活発な悪用が報告されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は、広範囲のMicrosoftオペレーティングシステムに影響を与えます。

  • Windows Server (2008-2025を含むすべてのバージョン)
  • Windows 10 (すべてのバージョン)
    • 特に、Windows 10 Version 1507, 1607, 1809, 21H2, 22H2
  • Windows 11 (バージョン24H2までを含むすべてのバージョン)
    • 特に、Windows 11 version 22H2, 22H3

2.2 影響を受ける設定

  • SMB署名が無効またはオプションである環境で脆弱性が悪用されます。特に、ドメインコントローラーがSMB署名を強制しているにもかかわらず、ワークステーションやメンバーサーバーが強制していない場合に脆弱性が存在します。
  • 攻撃の前提条件として、攻撃者がSMB認証を強制/受信するためのネットワーク上の位置を持つこと（例：LLMNR/NBNSポイズニング、WebDAV強制、UNCパスの誘引）、およびターゲットホストがSMB署名を要求しないこと（クライアント側および/またはサーバー側）が挙げられます。
  • Active Directory DNSゾーンで、低権限のAuthenticated Usersが新しいDNSレコードを自由に作成できるデフォルト設定も悪用される可能性があります。

3. 影響を受けた時の兆候

以下のような兆候が影響を受けた際に現れる可能性があります。

  • ユーザーアカウントからの異常な活動
  • SMBログにおける不正なアクセス試行
  • 予期せぬ特権昇格
  • 非管理者アカウントによるDNSレコードの作成や、マシンが自身に対してSMB認証を行っている状況を監視することで、攻撃の初期段階を検知できる可能性があります。

4. 推奨対策

4.1 本対策

  • Microsoftが2025年6月のPatch Tuesdayでリリースしたセキュリティ更新プログラムを適用する。
  • Windows Server、Windows 10、Windows 11を含む、影響を受けるすべてのWindowsバージョンにパッチを適用することが重要です。

4.2 暫定回避策（緩和策）

  • SMB署名を可能な限りすべての場所で強制する。グループポリシーを通じてクライアントおよびサーバーでSMB署名を要求する。
  • SMBアクセスを信頼できるネットワークのみに制限する。
  • 可能な場合は、アクセス制御に多要素認証（MFA）を有効にする。
  • Active Directory DNSドメインのACLを再構成し、低権限のActive Directoryユーザーが新しいDNSレコードを自由に作成できないようにする。
  • すべてのプロトコルで署名とチャネルバインディングを有効にする。

他に解説すべき観点

  • 攻撃の手法: 攻撃者は、被害者を悪意のあるSMBサーバーに接続させ、プロトコルを侵害することで特権昇格につながる可能性があります。この攻撃シナリオには、特別に細工された悪意のあるスクリプトを実行して、被害者マシンを攻撃者のシステムにSMBを使用して接続させ、認証を強制することが含まれます。
  • 研究者による発見: この脆弱性は、RedTeam PentestingとSynacktivの研究者によって2025年6月に開示されました。
  • CISAの警告: Cybersecurity and Infrastructure Security Agency (CISA) は、この脆弱性に関する警告を発しており、現在活発に悪用されていることを指摘しています。

参照したサイト

  • Examining Relay Attacks Through the Lens of CVE-2025-33073 | Zero Networks
  • CVE-2025-33073 Windows SMB Client Elevation of Privilege - Tanium Resource Center
  • Act Fast! SMB Vulnerability Lets Attackers Gain SYSTEM-Level Access | SecPod
  • Reflecting on Your Tier Model: CVE-2025-33073 and the One-Hop Problem - Praetorian
  • CVE-2025-33073: Windows 10 1507 SMB Privilege Escalation - SentinelOne
  • CVE-2025-33073: Improper Access Control | Rapid7 Vulnerability Database
  • Bypassing Windows authentication reflection mitigations for SYSTEM - Synacktiv
  • CVE-2025-33073 - CVE Record
  • SFRDevelopment/windows-smb-vulnerability-framework-cve-2025-33073 - GitHub
  • CVE-2025-33073: Windows SMB Client Improper Access Control Added to CISA's KEV
  • mverschu/CVE-2025-33073: PoC Exploit for the NTLM reflection SMB flaw. - GitHub
  • Using NTLM Reflection to Own Active Directory (CVE-2025-33073) | Depth Security

NVDサイト

NVDでCVEの詳細を見る

戻る