Trusted DesignCVE-2016-7255 の詳細
CVEの情報
説明:
The kernel-mode drivers in Microsoft Windows Vista SP2, Windows Server 2008 SP2 and R2 SP1, Windows 7 SP1, Windows 8.1, Windows Server 2012 Gold and R2, Windows RT 8.1, Windows 10 Gold, 1511, and 1607, and Windows Server 2016 allow local users to gain privileges via a crafted application, aka "Win32k Elevation of Privilege Vulnerability."
CVE更新日: 2016-11-10 07:00:09.460000
CVSSバージョン: 3.1
CVSSスコア: 7.8
KEVの情報
KEV更新日: 2021-11-03
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.809680000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: False
CVE-2016-7255に関する脆弱性調査結果を以下に解説します。
1. 脆弱性の概要
概要 Microsoft Windowsのカーネルモードドライバーに存在する、細工されたアプリケーションを介してローカルユーザーが特権を昇格できる脆弱性です。「Win32k 特権の昇格の脆弱性」として知られています。この脆弱性は、
win32k.sysシステムコールNtSetWindowLongPtr()が、GWL_STYLEがWS_CHILDに設定されたウィンドウハンドル上のインデックスGWLP_IDに対して不適切に処理を行うことによって発生します。攻撃者はカーネルモードで特定の値を論理OR演算することで、PML4e自己参照アドレスへのユーザーモードアクセスを可能にし、これによりメモリ内の任意の値を読み書きできるようになります。1.1 影響 この脆弱性を悪用されると、ローカルユーザーが影響を受けるシステム上で管理者権限に昇格し、システムが完全に侵害される可能性があります。攻撃者はプログラムのインストール、データの閲覧・変更・削除、または完全なユーザー権限を持つ新しいアカウントの作成が可能になります。これは、システムの完全性、機密性、および可用性に重大なリスクをもたらします。この脆弱性は、APT28ハッカーグループがFlashの脆弱性（CVE-2016-7855）と組み合わせて標的型攻撃に利用したことが確認されています。
1.2 深刻度 * CVSS v3.1 基本評価値: 7.8 (High) * 攻撃元区分 (AV): ローカル (L) * 攻撃条件の複雑さ (AC): 低 (L) * 必要な特権レベル (PR): 不要 (N) * ユーザー関与 (UI): 必要 (R) * スコープ (S): 変更なし (U) * 機密性への影響 (C): 高 (H) * 完全性への影響 (I): 高 (H) * 可用性への影響 (A): 高 (H)
2. 対象となる環境
2.1 影響を受けるOSバージョン 以下のMicrosoft Windowsバージョンが影響を受けます。 * Microsoft Windows Vista Service Pack 2 (SP2) * Windows Server 2008 Service Pack 2 (SP2) および R2 Service Pack 1 (SP1) * Windows 7 Service Pack 1 (SP1) * Windows 8.1 * Windows Server 2012 および R2 * Windows RT 8.1 * Windows 10 (バージョン 1507 (Gold)、1511、1607) * Windows Server 2016 特に、64ビット版のWindows 7、8.1、10 (Anniversary Update以前)、およびServer 2012 R2に対する実証コードが確認されています。
2.2 影響を受ける設定 この脆弱性は、
win32k.sysカーネルモードドライバーおよび関連するシステムコール（NtSetWindowLongPtr()など）の動作に起因するため、これらのWindowsコアコンポーネントを含むすべてのシステムが影響を受けます。特定のユーザー設定や構成によって脆弱性の有無が変わるものではありません。3. 影響を受けた時の兆候
直接的な「兆候」は具体的に明示されていませんが、脆弱性が悪用された場合、以下のようなシステム上で管理者権限の取得を示す兆候が見られる可能性があります。 * 不審なプログラムのインストール: ユーザーが認識しないプログラムがインストールされている。 * データの不正な閲覧、変更、削除: ファイルやシステム設定が不正に操作されている。 * 新しい管理者アカウントの作成: 不明なユーザーアカウントが管理者権限で作成されている。 * システム動作の異常: 権限昇格後に悪意のある活動が行われた場合、システムパフォーマンスの低下や不安定な動作が見られる可能性もあります。
4. 推奨対策
4.1 本対策 * セキュリティ更新プログラムの適用: Microsoftがセキュリティ情報「MS16-135」で提供しているセキュリティ更新プログラムを直ちに適用してください。 * 定期的なシステム更新: すべてのMicrosoft Windowsシステムを定期的に更新し、常に最新のセキュリティパッチを適用してください。
4.2 暫定回避策（緩和策） * 最小特権の原則の実施: ユーザーが必要最小限の権限で操作するようにし、管理者権限での日常的な作業を避けてください。 * アプリケーションホワイトリストの利用: 不正なアプリケーションの実行を防ぐために、アプリケーションホワイトリストを導入してください。 * 堅牢なアクセス制御と監視: 堅牢なアクセス制御を実装し、特権昇格の試みなど、疑わしい活動を監視してください。 * Microsoft Enhanced Mitigation Experience Toolkit (EMET) の利用: システムのバージョンで利用可能な場合は、MicrosoftのEMETの利用を検討してください。 * Win32k呼び出しの制限: Windows 10ではEdgeブラウザで
win32k呼び出しが制限されており、この種の攻撃経路が減少しています。 (これはシステム設計による緩和策であり、ユーザーが設定できる回避策ではありません。)参照したサイト