Trusted Design

CVE-2019-0797 の詳細

CVEの情報

説明:
An elevation of privilege vulnerability exists in Windows when the Win32k component fails to properly handle objects in memory, aka 'Win32k Elevation of Privilege Vulnerability'. This CVE ID is unique from CVE-2019-0808.

CVE更新日: 2019-04-09 03:29:00.763000

CVSSバージョン: 3.1

CVSSスコア: 7.8

KEVの情報

KEV更新日: 2021-11-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.018740000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2019-0797に関する調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2019-0797は、WindowsのWin32kコンポーネントがメモリ内のオブジェクトを適切に処理できない場合に発生する特権昇格の脆弱性です。これは「Win32k Elevation of Privilege Vulnerability」としても知られています。

具体的には、win32k.sysドライバーにおける競合状態 (race condition) のエラーであり、未公開のシステムコールであるNtDCompositionDiscardFrameとNtDCompositionDestroyConnectionの間の不適切な同期が原因で、use-after-freeのシナリオを引き起こします。 この脆弱性は、発見された時点で既にAPT攻撃で悪用されているゼロデイ脆弱性でした。

1.1 影響

攻撃者がこの脆弱性を悪用することに成功すると、カーネルモードで任意のコードを実行できるようになります。 これにより、攻撃者はプログラムのインストール、データの表示・変更・削除、あるいは完全なユーザー権限を持つ新しいアカウントの作成が可能となり、脆弱なシステムを完全に制御できる可能性があります。

1.2 深刻度

  • CVSS v3スコア: 7.8 (HIGH)
  • CVSS v3.1 ベクター: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
  • EPSS (Exploit Prediction Scoring System): 2.00% (moderate likelihood of exploitation)（2026年8月22日時点）。ただし、別の情報源では1.89% (Low) とも記載されています。
  • CISAの既知の悪用された脆弱性カタログ (Known Exploited Vulnerabilities catalog) への登録: 本脆弱性はCISAのカタログに「2021-11-03」に追加されており、実環境で悪用が確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

主に64ビット版のWindows 8およびWindows 10 (ビルド15063まで) が影響を受けます。 具体的な影響バージョンは以下の通りです。

  • Windows 10 version 1507, 1607, 1703, 1709, 1803, 1809
  • Windows 8.1
  • Windows RT 8.1
  • Windows Server 1709, 1803
  • Windows Server 2012, 2016, 2019

Securelistの技術詳細によると、発見されたエクスプロイトはWindows 8からWindows 10ビルド15063までの64ビットOSをターゲットとしていました。 Windows 10 ビルド14393以降のWindowsでは、パレットの代わりにウィンドウがエクスプロイトに利用されます。

2.2 影響を受ける設定

この脆弱性を悪用するためには、攻撃者はまずシステムにローカルでログオンしている必要があります。 その後、攻撃者はこの脆弱性を悪用する特殊なアプリケーションを実行します。 Google Chromeのサンドボックス内ではこの脆弱性は悪用できないとされています。

3. 影響を受けた時の兆候

直接的な「兆候」については、公開情報には具体的な記述がありません。この脆弱性は特権昇格型であるため、攻撃が成功した場合の直接的な兆候は、攻撃者がより高い権限で任意のコードを実行していること自体です。

ただし、Kasperskyのセキュリティ製品は、このエクスプロイトをプロアクティブに検出し、HEUR:Exploit.Win32.Generic、HEUR:Trojan.Win32.Generic、PDM:Exploit.Win32.Genericといった脅威として識別することが可能です。これらは、セキュリティソリューションによって間接的な検知の兆候として捉えられます。

4. 推奨対策

4.1 本対策

Microsoftが2019年3月12日にリリースした、この脆弱性に対応するシステムアップデート（パッチ）をインストールすることが強く推奨されます。 ベンダーの指示に従って速やかにアップデートを適用してください。

4.2 暫定回避策（緩和策）

明確な暫定回避策は公開情報には見当たりませんでした。しかし、一般的なセキュリティ対策として以下の点が推奨されます。

  • オペレーティングシステムを含むすべてのソフトウェアを常に最新バージョンに更新し、サポート期間が終了した古いシステムは可能な限り代替すること。
  • 行動分析技術を備えたセキュリティソリューションを導入・利用すること。 例えば、Kaspersky Security for Businessが提供するAdvanced Sandboxing、Anti Targeted Attack、Behavioral Detection Engine、Automatic Exploit Preventionなどの技術が挙げられます。

不明点

  • システム管理者や一般ユーザーが、攻撃を受けた際に直接認識できる具体的な「兆候」については、詳細な情報が見つかりませんでした。

他に解説すべき観点

  • ゼロデイ攻撃での悪用: この脆弱性は、Kasperskyの研究者によって発見されMicrosoftに報告された時点で、既にFruityArmorやSandCatといったAdvanced Persistent Threat (APT) グループによる標的型攻撃で悪用されていました。これは、その深刻さと現実世界での脅威を示しています。
  • CISA KEV (Known Exploited Vulnerabilities) カタログへの登録: CVE-2019-0797は、米国サイバーセキュリティ・社会基盤安全保障庁 (CISA) のKnown Exploited Vulnerabilitiesカタログに登録されており、これは実環境での活発な悪用が確認された脆弱性であることを意味します。 CISAは、連邦政府機関に対して、このカタログに記載された脆弱性への速やかな対処を義務付けており、これは全ての組織にとって「直ちにパッチを適用すべき」という強い警告となります。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る