Trusted Design

解説:

1. 脆弱性の概要

Microsoft Defender Antimalware Platform におけるサービス妨害（DoS）脆弱性。攻撃者が特定の入力を与えることで、Defender の内部処理に異常が発生し、サービスがクラッシュまたは過剰なリソース消費を引き起こす。 その結果、保護機能が一時的に停止し、システムが無防備な状態になる。

1.1 影響

Microsoft Defender の保護機能が停止または低下する

• 可用性（Availability）が低下
• 攻撃者は Defender のスキャン処理を妨害できる
• CISA Known Exploited Vulnerabilities（KEV）に登録済み（悪用確認済み）

1.2 深刻度

• CVSS v3.1（NVD 評価）：7.5（High）
  • AV:N / AC:L / PR:N / UI:N / S:U / C:N / I:N / A:H
• CVSS v3.1（Microsoft CNA 評価）：4.0（Medium）
  • AV:L / AC:L / PR:N / UI:N / S:U / C:N / I:N / A:L

2. 対象となる環境

2.1 影響を受ける製品バージョン

NVD による影響範囲：

• Microsoft Defender Antimalware Platform
• 4.18.26030.3011 以上 4.18.26040.7 未満
• OpenCVE では「Defender を搭載するすべての Windows 環境が潜在的に影響」と記載。

2.2 影響を受ける設定

特定の設定条件は公開されていない
Defender が有効化されている Windows 環境で DoS が成立し得る

3. 影響を受けた時の兆候（IoC）

公開情報では具体的な IoC は提示されていない。
事実として：

• CISA KEV に登録されており、悪用が確認されている （※クラッシュログやイベント ID などの詳細は公開されていないため「不明」）

4. 推奨対策

4.1 本対策（恒久対策）

• Microsoft が提供する Defender プラットフォーム更新プログラムを適用することが必須
• Microsoft Update Guide にて修正版が提供

4.2 暫定回避策（緩和策）

OpenCVE による推奨緩和策：

• Defender の最新更新プログラムを適用
• 不審ファイルのスキャン対象を制限（外部ドライブなど）
• アプリケーションホワイトリストを導入し、不正ファイルの実行を制限

5. その他補足（事実ベース）

• 攻撃は ローカル攻撃ベクター（AV:L） と評価されている（Microsoft CNA）
• Defender のクラッシュにより 一時的に保護が無効化されるため、二次攻撃のリスクが増大
• CISA KEV 登録により、優先度の高い対応が必要