Trusted Design

CVE-2019-1385 の詳細

CVEの情報

説明:
An elevation of privilege vulnerability exists when the Windows AppX Deployment Extensions improperly performs privilege management, resulting in access to system files.To exploit this vulnerability, an authenticated attacker would need to run a specially crafted application to elevate privileges.The security update addresses the vulnerability by correcting how AppX Deployment Extensions manages privileges., aka 'Windows AppX Deployment Extensions Elevation of Privilege Vulnerability'.

CVE更新日: 2019-11-12 19:15:12.503000

CVSSバージョン: 3.1

CVSSスコア: 7.8

KEVの情報

KEV更新日: 2022-05-23

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.036040000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2019-1385について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2019-1385は、Microsoft WindowsのAppX展開拡張機能における権限昇格の脆弱性です。この脆弱性は、「Windows AppX Deployment Extensions Elevation of Privilege Vulnerability」としても知られています。WindowsのAppX展開拡張機能が特権管理を不適切に実行することに起因します。

認証された攻撃者は、特別に細工されたアプリケーションを実行することで、特権を昇格させ、システムファイルへの不正アクセスが可能になります。攻撃ベクトルはローカルであり、攻撃の複雑さは低く、必要とされる特権レベルも低いことから、非管理者ユーザーでも脆弱性を悪用できる可能性があります。

1.1 影響

この脆弱性が悪用されると、攻撃者は以下の影響を与える可能性があります。

  • 権限昇格: 一般ユーザー権限からシステム権限などのより高い特権を獲得する可能性があります。
  • システムファイルへの不正アクセス: 不正にシステムファイルへアクセスできるようになります。
  • 機密性、完全性、可用性への影響: 機密情報が漏洩したり、システムファイルの完全性が損なわれたり、システムの可用性に影響を及ぼす可能性があります。
  • ランサムウェアキャンペーンでの利用: この脆弱性は、実際にランサムウェアキャンペーンで利用されたことが確認されています。

1.2 深刻度

  • CVSS v3.1スコア: 7.8（High Severity - 重要）
    • CVSS v3.1 ベクトル: AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
    • これにより、攻撃元区分はローカル、攻撃条件の複雑さは低、攻撃に必要な特権レベルは低、ユーザー関与は不要、影響の想定範囲は変更なし、機密性・完全性・可用性への影響は高と評価されています。
  • 既知の悪用: 米国サイバーセキュリティ・社会基盤安全保障庁 (CISA) の「Known Exploited Vulnerabilities (KEV)」カタログに2022年5月23日に追加されており、実際に悪用が確認されている脆弱性です。これは、CVSSスコアだけでは判断できない、実世界でのリスクが高いことを示しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

以下のMicrosoft Windowsのバージョンが影響を受けます。

  • Windows 10 Version 1709 (32-bit Systems, x64-based Systems, ARM64-based Systems)
  • Windows 10 Version 1803 (32-bit Systems, x64-based Systems, ARM64-based Systems)
  • Windows 10 Version 1809 (32-bit Systems, x64-based Systems, ARM64-based Systems)
  • Windows 10 Version 1903 (32-bit Systems, x64-based Systems, ARM64-based Systems)
  • Windows Server 2016
  • Windows Server 2019
  • Windows Server, version 1803 (Core Installation)
  • Windows Server, version 1903 (Server Core installation)
  • 一部の資料ではWindows 7 SP1、Windows 8.1/RT 8.1も言及されています。

2.2 影響を受ける設定

特定のユーザーが構成可能な設定が直接的に脆弱性の原因となるわけではありません。この脆弱性は、Windows AppX展開拡張機能における不適切な権限管理に存在します。

3. 影響を受けた時の兆候

このCVEに特化した明確な「兆候」や「IoC (Indicators of Compromise)」は、検索結果からは詳細に記述されていませんでした。しかし、以下の一般的な兆候や推奨事項が挙げられます。

  • CISAは、この脆弱性が悪用されたため、影響を受けるシステムで侵害の兆候がないか確認することを推奨しています。
  • AppXサービスに異常が見られる場合は、それが悪用の兆候である可能性があります。
  • システムファイルへの異常なアクセス試行を監視することが重要です。

4. 推奨対策

4.1 本対策

  • Microsoftが提供するセキュリティ更新プログラムの適用: Microsoftは、AppX展開拡張機能が特権を管理する方法を修正するセキュリティ更新プログラムをリリースしています。影響を受けるWindowsバージョンに対応する特定のアップデートは、Microsoft Security Response Center (MSRC) のWebサイトで提供されています。
  • 2019年11月のWindowsアップデートの展開: 特に、2019年11月のWindowsアップデートがすべての環境に展開されていることを確認し、AppXサービスの異常が検出されたエンドポイントを優先して対処することが推奨されます。
  • ベンダーの指示に従った更新の適用: CISAは、ベンダーの指示に従って更新を適用することを必須アクションとしています。

4.2 暫定回避策（緩和策）

パッチ適用が困難な場合や、即時適用ができない場合の緩和策として、以下の措置が考えられます。

  • 最小権限の原則の適用: 信頼できないユーザーやプロセスがシステム管理者権限を獲得できないように、最小権限の原則を適用します。
  • 不要なAppXパッケージの制限: サーバー内の不要なAppXパッケージのインストールを制限します。
  • システムファイルへのアクセス制御リスト (ACL) の厳格な設定: システムファイルへのアクセス制御リストを厳格に設定し、不正なアクセスを防ぎます。
  • セキュリティ監視ソリューションの活用: セキュリティ監視ソリューションを導入し、システムファイルへの異常なアクセス試行をリアルタイムで検知します。

その他に解説すべき観点

  • CWE-59: この脆弱性は、不適切なリンク解決後のファイルアクセス（'Link Following'）に関連するCWE-59に分類されています。
  • 活発な悪用: この脆弱性は、CISAのKEVカタログに掲載されており、実際の攻撃で悪用されていることが確認されています。また、ランサムウェア攻撃で利用された事例も報告されています。
  • 米連邦政府の対応期限: 米国の連邦政府機関は、CISA Binding Operational Directive 22-01に基づき、2022年6月13日までにこの脆弱性を修正することが義務付けられていました。この期限は民間企業には直接適用されませんが、CISAがこの脆弱性を非常に深刻と評価していることの強いシグナルとなります。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る