Trusted Design

CVE-2019-1458 の詳細

CVEの情報

説明:
An elevation of privilege vulnerability exists in Windows when the Win32k component fails to properly handle objects in memory, aka 'Win32k Elevation of Privilege Vulnerability'.

CVE更新日: 2019-12-10 22:15:16.103000

CVSSバージョン: 3.1

CVSSスコア: 7.8

KEVの情報

KEV更新日: 2022-01-10

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.744380000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2019-1458について、以下の観点から解説します。

1. 脆弱性の概要

WindowsのWin32kコンポーネントがメモリ内のオブジェクトを適切に処理しない場合に存在する特権昇格の脆弱性です。「Win32k Elevation of Privilege Vulnerability」としても知られています。

具体的には、オペレーティングシステムのシステムウィンドウに関する情報を定義するグローバル構造体 tagSERVERINFO のフィールド (*(gpsi + 0x154)) が初期化されていないことが原因です。これにより、ユーザー空間アプリケーションが通常カーネルのみが設定できるタスク切り替えウィンドウ (FNID_SWITCH, 0x280) に追加のウィンドウデータを設定できるようになります。この追加データはポインタとして機能し、後に逆参照されて書き込みが行われるため、任意のメモリアドレスへの限定的な書き込みプリミティブを可能にします。

この脆弱性は、カスペルスキーの研究者であるAnton IvanovとAlexey Kulaevによって発見されたゼロデイ脆弱性で、2019年11月に「Operation WizardOpium」という攻撃活動で使用されていることが確認されました。この攻撃では、Google Chromeのゼロデイ脆弱性と組み合わせて使用されました。

1.1 影響

  • 攻撃者はカーネルモードで任意のコードを実行することが可能になります。
  • プログラムのインストール、データの表示・変更・削除、または完全なユーザー権限を持つ新しいアカウントの作成が可能になります。
  • Chromeのサンドボックスを回避し、ターゲットマシン上で権限昇格を実現するために使用されました。
  • 特権昇格のために、SYSTEMとして実行されているプロセスのEPROCESSオブジェクトからシステムトークンを窃取します。
  • 任意のカーネル読み書きプリミティブを達成することができます。
  • 本脆弱性は、ランサムウェア攻撃を含む実環境で悪用されたことが確認されています。

1.2 深刻度

  • CVSS v3 基本評価値: 7.8 (High)
  • CISA KEV (Known Exploited Vulnerabilities) カタログ: アクティブに悪用されている脆弱性としてリストされています。
  • NVD (National Vulnerability Database) 脆弱性タイプ: 高危（High risk）、脆弱性武器化済み（Vulnerability weaponized）とされています。
  • 影響の指標 (TridentStack): 機密性: High、完全性: High、可用性: High

2. 対象となる環境

2.1 影響を受けるOSバージョン

  • Windows 10 1607 x64 (KB4525236 およびそれ以前のバージョン)
  • Windows 7 x64 (KB4525233 およびそれ以前のバージョン)
  • Windows 7 の最新パッチ適用バージョン、およびWindows 10 の一部ビルド (最近のバージョンは影響を受けない)
  • Windows 8.1 マシンでもエクスプロイトが動作する可能性が示唆されています。

2.2 影響を受ける設定

  • Win32k コンポーネント、特にタスク切り替えウィンドウ機能 (FNID_SWITCH, 0x280) に関連する tagSERVERINFO グローバル構造体内の未初期化変数が影響を受けます。
  • システムウィンドウ（例: FNID_SWITCH）を作成するユーザーアプリケーションが関連する可能性があります。
  • エクスプロイトには、Altキーの押下をシミュレートし、文書化されていない NtUserMessageCall APIを2回呼び出すことが含まれます。

3. 影響を受けた時の兆候

本脆弱性は、通常、ブラウザのゼロデイなどによる初期侵害の後で利用される特権昇格の脆弱性です。そのため、本脆弱性自体の直接的な兆候は、深いフォレンジック分析なしには特定しにくい場合があります。

ただし、エクスプロイトが成功すると、カーネルモードで任意のコードが実行され、権限昇格が発生します。その結果として、プログラムのインストール、データの閲覧・変更・削除、あるいは完全なユーザー権限を持つ新しいアカウントの作成といった、二次的な兆候が現れる可能性があります。

4. 推奨対策

4.1 本対策

  • Microsoftは2019年12月の月例更新プログラムで本脆弱性に対する修正パッチをリリース済みです。
    • Windows 10 1607 x64 の場合、KB4530689 で修正されました。
    • Windows 7 x64 の場合、KB4530692 で修正されました。
  • すべてのソフトウェアについて、セキュリティ関連の修正パッチがリリースされたら速やかに適用することを強く推奨します。

4.2 暫定回避策（緩和策）

  • 特定の暫定回避策は明確に示されていませんが、以下の対策が有効です。
  • カスペルスキー製品は、このエクスプロイトを「PDM:Exploit.Win32.Generic」として検知し、ブロックします。
  • 振る舞い検知機能を備えたセキュリティ製品（例: Kaspersky Endpoint Security）やサンドボックス技術を活用したセキュリティ製品の導入が有効です。
  • 脆弱性評価とパッチ管理機能を備えたセキュリティ製品を使用して、すべてのソフトウェアのセキュリティパッチ適用状況を最新に保つことを推奨します。

他に解説すべき観点

  • PoC (Proof-of-Concept) の公開: Piotr Florczyk (@florek_pl) がこの脆弱性のPoCを公開しています。
  • エクスプロイトの試行回数: 1回のカーネル再起動につき、エクスプロイトを試行できる回数が1回に限定される可能性があります。
  • トリガー方法: 本脆弱性は、「Alt + Tab」キーの組み合わせでトリガーされるウィンドウ切り替え機能に関連しています。エクスプロイトコードは、キー押下操作をエミュレートするためにいくつかのWinAPI呼び出し（GetKeyState/SetKeyState）を使用します。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る