Trusted Design

解説:

以下にCVE-2019-1388に関する解説を記載します。

1. 脆弱性の概要

CVE-2019-1388は、Windows証明書ダイアログにおける特権昇格の脆弱性です。Windowsがユーザーの権限を適切に適用しない場合に発生します。この脆弱性は、「Windows 証明書ダイアログの特権の昇格の脆弱性」として知られています。

1.1 影響

この脆弱性が悪用されると、ローカルの認証された攻撃者が、特別に細工されたプログラムを実行することにより、システム上でより高い権限で任意のコードを実行できる可能性があります。これにより、低権限のユーザーが管理者権限、または NT AUTHORITY\SYSTEM 権限に昇格し、ターゲットマシンを完全に制御できるようになります。

1.2 深刻度

• CVSS v3.1 ベーススコア: 7.8 (High)
• CVSS v3.1 ベクター: (CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H)
  • 攻撃元区分 (AV): ローカル (L)
  • 攻撃条件の複雑さ (AC): 低 (L)
  • 攻撃に必要な特権レベル (PR): 低 (L)
  • ユーザー関与 (UI): 不要 (N)
  • 影響の想定範囲 (S): 変更なし (U)
  • 機密性への影響 (C): 高 (H)
  • 完全性への影響 (I): 高 (H)
  • 可用性への影響 (A): 高 (H)
• CVSS v2.0 ベーススコア: 7.2 (High)

この脆弱性は、CISAのKEV (Known Exploited Vulnerabilities) カタログにも含まれており、実際に悪用されていることが知られています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は、以下のMicrosoft Windowsの複数のバージョンに影響を及ぼします。

• Windows 7 (32-bit/x64-based Systems) SP1
• Windows 8.1 (32-bit/x64-based Systems), Windows RT 8.1
• Windows 10 (32-bit/x64-based Systems):
  • Version 1607
  • Version 1709
  • Version 1803
  • Version 1809 (32-bit/x64-based/ARM64-based Systems)
  • Version 1903 (32-bit/x64-based/ARM64-based Systems)
• Windows Server:
  • Windows Server 2008 R2 SP1 (x64-based Systems, Itanium-Based Systems, Core installationを含む)
  • Windows Server 2012, 2012 R2 (Core installationを含む)
  • Windows Server 2016 (Core installationを含む)
  • Windows Server 2019 (Core installationを含む)
  • Windows Server version 1803 (Server Core Installation)
  • Windows Server version 1903 (Server Core installation)

2.2 影響を受ける設定

この脆弱性は、WindowsのUAC (User Account Control) 機能が有効な環境で、特定のWindows Certificate Dialogの振る舞いを利用して悪用されます。攻撃には、署名された古いMicrosoftの実行ファイル（例: hhupd.exe）が必要となる場合があります。

3. 影響を受けた時の兆候

この脆弱性は特権昇格に利用されるため、直接的な兆候はシステムへの不正なアクセスや、通常は低権限ユーザーでは実行できない操作が実行されていることなどとして現れる可能性があります。例えば、低権限ユーザーからNT AUTHORITY\SYSTEM権限でコマンドプロンプトが開かれるなどの兆候が挙げられます。

4. 推奨対策

4.1 本対策

Microsoftは、この脆弱性に対するセキュリティ更新プログラムをリリースしています。 影響を受けるWindowsバージョンに対応する最新のセキュリティパッチを適用することが最も推奨される対策です。これらの更新プログラムは、Windows Updateを通じて提供されます。

4.2 暫定回避策（緩和策）

この脆弱性に対する明確な暫定回避策は公開されていませんが、一般的に以下の対策が考えられます。

• UAC設定の適切な管理: 脆弱性がUACの動作を利用するため、UAC設定を見直すことが検討されます。しかし、UACを無効にすることは、他のセキュリティリスクを増大させるため推奨されません。
• 不要なサービスの停止: 攻撃に必要なサービスやアプリケーションが特定されている場合、それらを無効にすることが考えられます。
• システムの監視強化: 不審なプロセス実行や権限昇格の試みを早期に検知できるよう、システムログの監視やセキュリティソリューションによる監視を強化します。
• 古い署名済み実行ファイルの制限: 攻撃に利用される可能性のある古い署名済み実行ファイル（hhupd.exeなど）へのアクセスを制限することが考えられます。

参照したサイト

• CVE-2019-1388: Improper Privilege Management | Rapid7 Vulnerability Database
• CVE-2019-1388 - CVE Record
• CVE-2019-1388 | Tenable®
• NVD-CVE-2019-1388 - NIST
• CVE-2019-1388: Windows Privilege Escalation Through UAC - Meas - Medium
• Windows Privilege Escalation Using CVE-2019–1388: UAC Bypass on TryHackMe's Blaster | by Caroline Emily Swetha | Medium
• CVE-2019-1388 UAC提权 (nt authority\system) - GitHub
• CVE-2019-1388 — Patch first | CVE Explorer - Peter Bassill
• (CVE-2019-1388)[Privilege Escalation] Microsoft Windows Certificate Dialog privilege escalation | VK9 Security
• CVE-2019–1388: Windows Certificate Dialog Elevation of Privilege - Medium
• Windows 10 Version 1809 および Windows Server 2019 の既知の問題と通知
• CVE-2019-1388： Windows UAC 提权-腾讯云开发者社区
• CVE-2019-1388: Windows Privilege Escalation Through UAC - YouTube
• JVNDB-2019-011751 - JVN iPedia - 脆弱性対策情報データベース

その他解説すべき観点

• エクスプロイトの容易性: この脆弱性は「low complexity (低複雑度)」と評価されており、比較的に容易に悪用される可能性があります。 実際に、概念実証 (PoC) コードが公開されており、攻撃者が利用できる状態になっています。
• UACバイパス: この脆弱性は、UAC (User Account Control) をバイパスする手法の一つとして悪用されます。UACは、ユーザーが管理者権限を必要とする操作を行う際にプロンプトを表示し、承認を求めるセキュリティ機能ですが、CVE-2019-1388はこのメカニズムを迂回します。
• Windows Certificate Dialogの動作: 攻撃は、Windowsの証明書ダイアログが、証明書発行者のウェブサイトへのリンクを開く際に、UACによって保護されたデスクトップからNT AUTHORITY\SYSTEM権限でブラウザプロセスを起動するという特性を悪用します。攻撃者はこのブラウザプロセスから、高権限のコマンドプロンプトを開くことが可能です。