Trusted Design

解説:

CVE-2016-0099に関する脆弱性調査結果を以下にまとめます。

1. 脆弱性の概要

CVE-2016-0099は、Microsoft WindowsのSecondary Logon Serviceにおける特権昇格の脆弱性です。この脆弱性は「Secondary Logon Elevation of Privilege Vulnerability」としても知られています。

この脆弱性は、アプリケーションが信頼できないデータ境界を安全に処理できないことに起因する「Classic Buffer Overflow」（CWE-120）として分類されています。 具体的には、Windowsのセカンダリログオンサービスがメモリ内のリクエストハンドルを適切に管理できない場合に発生します。

この脆弱性は、CISAの「Known Exploited Vulnerabilities (KEV) Catalog」に2022年3月3日に追加されており、実世界で積極的に悪用されていることが確認されています。 また、ランサムウェアキャンペーンとの関連性も指摘されています。

1.1 影響

この脆弱性が悪用されると、ローカルユーザーが悪意のあるアプリケーションを介して管理者権限で任意のコードを実行できるようになります。 成功した悪用は、システムに対する不正な管理者アクセス、データ漏洩、さらなる悪用につながる可能性があります。 具体的には、以下の高い影響が考えられます。

• リモートコード実行 (Remote Code Execution): 攻撃者が命令ポインタを上書きして悪意のあるシェルコードに実行をリダイレクトできる可能性があります。
• メモリ破損 (Memory Corruption): 隣接するメモリ領域を上書きすることで、重要なアプリケーションの状態を破損させ、特権昇格につながる可能性があります。
• サービス拒否 (Denial of Service): セグメンテーション違反を引き起こすことで、重要なシステムの即時中断につながる可能性があります。

1.2 深刻度

• CVSS v3.1 基本スコア: 7.8 (High)
• CVSS ベクタ文字列: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
  • 攻撃経路 (Attack Vector - AV): ローカル (L)
  • 攻撃の複雑さ (Attack Complexity - AC): 低 (L)
  • 必要な特権レベル (Privileges Required - PR): 低 (L)
  • ユーザーインタラクション (User Interaction - UI): 不要 (N)
  • スコープ (Scope - S): 変更なし (U)
  • 機密性への影響 (Confidentiality Impact - C): 高 (H)
  • 完全性への影響 (Integrity Impact - I): 高 (H)
  • 可用性への影響 (Availability Impact - A): 高 (H)
• EPSSスコア: 0.37164（90.4%、99.60パーセンタイル）。これは、他の既知の脆弱性と比較して悪用される可能性が著しく高いことを示しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は、以下のMicrosoft Windowsバージョンに影響を与えます。

• Windows Vista SP2
• Windows Server 2008 SP2 および R2 SP1
• Windows 7 SP1
• Windows 8.1
• Windows Server 2012 Gold および R2
• Windows RT 8.1
• Windows 10 Gold および 1511
• Windows 10 1507

2.2 影響を受ける設定

• WindowsのSecondary Logon Service (Seclogonサービス)における、メモリ内のリクエストハンドルの不適切な処理。

3. 影響を受けた時の兆候

この脆弱性は特権昇格を目的としているため、直接的なユーザーが認識できる兆候は少ない可能性があります。しかし、成功した悪用は、不正な管理者権限の取得、任意のコード実行、データの操作、またはシステムの中断につながる可能性があります。これらの活動は、システム監査ログや監視ツールで検出される可能性があります。

4. 推奨対策

4.1 本対策

• ベンダーパッチの即時適用: Microsoftから提供されているセキュリティ更新プログラムを直ちに適用してください。この脆弱性に対処するために、Microsoftはセキュリティ更新プログラムMS16-032 (KB3143141) をリリースしています。 この更新プログラムは、Windowsがメモリ内のリクエストハンドルを管理する方法を修正します。
• パッチ適用の確認: すべてのインスタンスが更新されていることを確認してください。
• 監査ログの確認: 攻撃の兆候がないか、過去のアクセスログを調査してください。

4.2 暫定回避策（緩和策）

• 多層防御 (Defense-in-Depth) の実装: 攻撃の影響範囲を制限するために、WAFルール、ネットワークセグメンテーション、エンドポイント検出などの多層防御戦略を展開してください。
• 最小特権の原則の適用: ローカルユーザーの権限を制限し、疑わしいアクティビティを監視することで、悪用されるリスクを軽減できます。

参照したサイト

• CVE-2016-0099: Classic Buffer Overflow Vulnerability | Precogs AI
• CVE-2016-0099 - Microsoft Windows Secondary Logon Service Privilege Escalation Vulnerability | turingpoint
• CVE-2016-0099 | High Vulnerability in Microsoft Windows - Appsecure Security
• CVE-2016-0099 — Microsoft Windows | NexaPulse - Fastnexa
• NVD-CVE-2016-0099 - NIST
• CVE-2016-0099 exploited: patch Microsoft Windows now - Senserva
• CVE Record: CVE-2016-0099 - Microsoft Corporation
• CVE-2016-0099.md at main - GitHub
• Microsoft セキュリティ情報 MS16-032 - 重要
• CVE-2016-0099 | Tenable®