Trusted Design

CVE-2017-0213 の詳細

CVEの情報

説明:
Windows COM Aggregate Marshaler in Microsoft Windows Server 2008 SP2 and R2 SP1, Windows 7 SP1, Windows 8.1, Windows Server 2012 Gold and R2, Windows RT 8.1, Windows 10 Gold, 1511, 1607, and 1703, and Windows Server 2016 allows an elevation privilege vulnerability when an attacker runs a specially crafted application, aka "Windows COM Elevation of Privilege Vulnerability". This CVE ID is unique from CVE-2017-0214.

CVE更新日: 2017-05-12 14:29:01.393000

CVSSバージョン: 3.1

CVSSスコア: 7.3

KEVの情報

KEV更新日: 2022-03-28

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.842580000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2017-0213は、Microsoft WindowsのCOM Aggregate Marshalerに存在する特権昇格の脆弱性です。攻撃者は、特別に細工されたアプリケーションを実行することで、昇格された権限で任意のコードを実行する可能性があります。

1. 脆弱性の概要

Windows COM Aggregate Marshalerに存在する特権昇格の脆弱性です。攻撃者が特別に細工されたアプリケーションを実行することにより、権限昇格が可能になります。 この脆弱性単独では任意のコード実行はできませんが、他の脆弱性と組み合わせて利用される可能性があります。

1.1 影響

本脆弱性の悪用に成功すると、ローカルシステム上でより高い特権を持つセキュリティコンテキストで任意のコードを実行される可能性があります。 これにより、攻撃者は低い権限の足場から管理者またはSYSTEMレベルの実行に移行し、資格情報のダンプ、セキュリティ制御の無効化、永続性の確立、水平移動の準備、および侵害されたホストの広範な乗っ取りを容易にする可能性があります。 これは初期のリモートアクセスベクターではなく、侵害後のローカルでの特権昇格の問題であり、攻撃者やランサムウェア運用者によって、ターゲットシステム上でコード実行権限を獲得した後に広く悪用されています。

1.2 深刻度

  • CVSS v3.1基本スコア: 7.3 (High)
  • CVSS v3.1ベクトル: AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H
  • CISAのKnown Exploited Vulnerabilities (KEV)カタログに掲載されており、実環境での積極的な悪用が確認されています。 この事実は、CVSSスコアだけの場合よりも優先度を高くすべきとされています。
  • EPSS (Exploit Prediction Scoring System) 確率: 84.14% (99.7パーセンタイル) これは、今後30日以内に悪用される可能性が非常に高いことを示しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

以下のMicrosoft Windows製品およびバージョンが影響を受けます。

  • Microsoft Windows Server 2008 SP2 および R2 SP1
  • Windows 7 SP1
  • Windows 8.1
  • Windows Server 2012 Gold および R2
  • Windows RT 8.1
  • Windows 10 Gold (1507), 1511, 1607, 1703
  • Windows Server 2016
  • Windows Embedded POSReady 2009
  • Windows Embedded Standard 2009

2.2 影響を受ける設定

この脆弱性は、Windows COM Aggregate Marshalerの処理に存在します。 特定の「設定」が影響を受けるというよりは、脆弱なCOMコンポーネント自体が存在する環境が影響を受けます。攻撃は、特別に細工されたアプリケーションの実行を伴います。

3. 影響を受けた時の兆候

  • 特権昇格は初期の侵害後に発生するため、侵害の兆候としては、システム上での不審なアクティビティ、特に低い権限から高い権限への異常な移行が挙げられます。
  • 不審な子プロセスの起動や、通常では許可されないソフトウェアのインストールが確認されることがあります。
  • エンドポイントテレメトリーにおいて、サービスバイナリの置き換え、不審なサービス起動、または関連するエージェントに紐づく権限変更がないかを確認することが推奨されます。
  • 不審な権限移行や、エクスプロイト後のツール（post-exploitation tooling）の利用を監視することで、悪用を検知できる可能性があります。

4. 推奨対策

4.1 本対策

  • 2017年5月にMicrosoftからリリースされたCVE-2017-0213用のセキュリティ更新プログラムを、影響を受けるすべてのWindowsシステムに適用してください。 この更新プログラムは、Windows COM Marshalerがインターフェース要求を処理する方法を修正することで脆弱性に対処します。
  • 具体的な更新プログラムのKB番号としては、KB4019214, KB4038788, KB4018556, KB4019263, KB4019474, KB4019472, KB4019473などが挙げられます。
  • 更新プログラムはWindows UpdateまたはMicrosoft Update Catalogから入手できます。
  • 信頼できないユーザーによるローカルコード実行を許可する可能性のあるエンドポイントやサーバー、または侵害後の踏み台として一般的に使用されるシステムに対しては、パッチ適用を優先してください。
  • 米国連邦政府機関には、2022年4月18日までにこの脆弱性を修正することが義務付けられていました。

4.2 暫定回避策（緩和策）

  • 直ちにパッチを適用できない場合は、ローカルコード実行の機会を制限し、最小特権の原則を徹底し、対話型ログオン権限を制限し、信頼できないユーザーが任意のアプリケーションを実行できないようにすることで、露出を減らすことができます。
  • アプリケーション制御、エンドポイント検出および対応（EDR）、および不審な子プロセスや特権昇格の動作をブロックまたは検出する強化策は、悪用機会を減らすことができます。
  • サポートされていない、またはレガシーなWindowsバージョンは、パッチ適用が不可能な場合にアップグレードまたは隔離されていることを確認してください。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る