Trusted Design

解説:

CVE-2018-8589に関する調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2018-8589は、Microsoft Windowsのwin32k.sysドライバーに存在するゼロデイの特権昇格の脆弱性です。この脆弱性を悪用することで、攻撃者は被害者のシステム上で永続性を維持するために必要な権限を獲得できる可能性があります。 本脆弱性は、CISAの「Known Exploited Vulnerabilities」カタログに掲載されており、実際の悪用が確認されています。

攻撃は、クラスと関連するウィンドウを持つ2つのスレッドを作成し、両方のスレッドに共通するウィンドウプロシージャ内のWM_NCCALCSIZEメッセージのコールバック内で、反対側のスレッドのウィンドウを移動させることで脆弱性を利用します。 この脆弱性は、主に中東地域でのAPT攻撃で悪用されました。

1.1 影響

• 攻撃者はカーネルモードで任意のコードを実行し、システム上で必要な特権を獲得して永続性を維持できる可能性があります。
• この脆弱性は、機密性、完全性、可用性に高い影響を与えます。

1.2 深刻度

• Microsoftは、この脆弱性の深刻度を「重要 (Important)」と評価しています。
• CVSSv3スコアは7.8 (High) で、攻撃元区分（Attack Vector）は「ローカル (Local)」です。

2. 対象となる環境

2.1 影響を受けるOSバージョン

• Windows 7 (32ビット版)
• Windows Server 2008

2.2 影響を受ける設定

• 本脆弱性はwin32k.sysドライバーに存在します。
• 攻撃元区分がローカルであるため、攻撃者は脆弱なシステムへのローカルアクセス（オペレーティングシステム、ファイルシステム、またはログインセッションを介した直接アクセスなど）を必要とします。
• 認証要件は低く、攻撃者はユーザーレベルの権限を持っている必要があります。
• 特定の非デフォルト設定が脆弱性悪用の前提条件として挙げられている情報はありません。

3. 影響を受けた時の兆候

カスペルスキー製品は、本エクスプロイトを以下の技術を使用してプロアクティブに検知しました。

• HEUR:Exploit.Win32.Generic
• HEUR:Trojan.Win32.Generic
• PDM:Exploit.Win32.Generic

これらは攻撃の兆候というよりは、セキュリティ製品による検出の兆候です。システムが侵害された後の具体的な兆候については、公開情報からは明確に読み取れません。

4. 推奨対策

4.1 本対策

• Microsoftが2018年11月13日に公開したパッチを直ちに適用してください。
• 企業で使用するすべてのソフトウェアを定期的に最新バージョンに更新してください。
• サポートが終了する前に、古いソフトウェアの使用を中止してください。
• 脆弱性評価およびパッチ管理機能を備えたセキュリティ製品を使用して、更新プロセスを自動化することを推奨します。
• CISAは、ベンダーの指示に従って更新プログラムを適用することを推奨しています。

4.2 暫定回避策（緩和策）

この脆弱性に対する具体的な暫定回避策（緩和策）については、公開情報に記載されていません。本対策であるパッチの適用が唯一の推奨される対策です。

参照サイト

• CVE-2018-8589: Another day, another OS vulnerability | Kaspersky official blog
• CVE-2018-8589: Microsoft Win32k Privilege Escalation Vulnerability - Safeguard
• Windowsの脆弱性（2018年11月公開）に関するお知らせ
• A new exploit for zero-day vulnerability CVE-2018-8589 - Securelist
• CVE-2018-8589 microsoft Vulnerability Report EPSS & CISA KEV | HackerStorm
• 11月週二更新來了，微軟這次修補了63個漏洞，13個是重大漏洞 - 政大電算中心