Trusted Design

解説:

CVE-2002-0367について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2002-0367は、Microsoft Windows NTおよびWindows 2000に存在するローカルの権限昇格の脆弱性です。この脆弱性を悪用することで、ローカルユーザーがAdministratorまたはSYSTEM権限を取得できる可能性があります。

根本原因は、Windows NTおよびWindows 2000のsmss.exeデバッグサブシステムが、他のプログラムに接続するプログラムを適切に認証しないことにあります。攻撃者は、特権プロセスへのハンドルを複製することで、この脆弱性を悪用します。「DebPloit」というエクスプロイトによって実証されています。

1.1 影響

この脆弱性が悪用された場合、機密データへの不正アクセス、システムの整合性の変更、および潜在的なシステムダウンタイムにつながる可能性があり、機密性、完全性、可用性への影響は「高」と評価されています。

1.2 深刻度

この脆弱性は「高」の深刻度と評価されています。

• CVSSスコア:
  • CVSS v3.1: 7.8 (高)
    • 攻撃元区分 (AV): ローカル (L)
    • 攻撃の複雑さ (AC): 低 (L)
    • 必要な特権 (PR): 低 (L)
    • ユーザーインタラクション (UI): 不要 (N)
    • スコープ (S): 変更なし (U)
    • 機密性への影響 (C): 高 (H)
    • 完全性への影響 (I): 高 (H)
    • 可用性への影響 (A): 高 (H)
  • CVSS v2.0: 7.2 (高)
• CISA Known Exploited Vulnerabilities (KEV) カタログに2022年3月3日付けで掲載されており、実際に悪用されていることが確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

• Microsoft Windows NT
• Microsoft Windows 2000

2.2 影響を受ける設定

この脆弱性は、smss.exeデバッグサブシステムの内部的な認証処理の不備に起因します。ユーザーが変更できる特定の設定が影響を受けるというよりも、OSの内部コンポーネントの動作に関連しています。

3. 影響を受けた時の兆候

具体的な兆候は明記されていませんが、CISAは、悪用を試みるプローブ、エラー、認証の異常、または脆弱性クラスに一致する疑わしい子プロセスについてログを検索することを推奨しています。

4. 推奨対策

4.1 本対策

• 直ちにパッチを適用することを優先してください。
• ベンダーの指示（Microsoft Security Bulletin MS02-024など）に従ってアップデートを適用してください。
• CISA KEVカタログに掲載されている脆弱性であるため、緊急の対応としてパッチ適用または隔離を行い、過去の侵害がないかを確認することが推奨されます。

4.2 暫定回避策（緩和策）

• 攻撃対象領域を制限します。
• パッチが適用されるまで、影響を受けるコンポーネントの外部への露出を制限します。

その他に解説すべき観点

• CWE (Common Weakness Enumeration): CWE-269 (不適切な特権管理 - Improper Privilege Management)
• CAPEC (Common Attack Pattern Enumeration and Classification): CAPEC-233 (特権昇格 - Privilege Escalation)、CAPEC-69 (特権昇格されたプログラムをターゲットにする - Target Programs with Elevated Privileges)
• 悪用状況: 一般に公開されたエクスプロイト（DebPloitなど）が存在し、CISA KEVカタログに掲載されていることから、実際に悪用されていることが確認されています。

参照したサイト

• CVE-2002-0367 | High Vulnerability in Microsoft Windows - Appsecure Security
• CVE-2002-0367 - CVE Record - CVE
• CVE-2002-0367 — Microsoft Windows Privilege Escalation Vulnerability - SOCRadar
• Known Exploited Vulnerabilities Catalog - CISA
• CVE-2002-0367 – Microsoft Windows Privilege Escalation Vulnerability - CVE-2002-0367.com
• 既知の悪用された脆弱性による重大なリスクの軽減について - kokumoto