Trusted Design

CVE-2021-1675 の詳細

CVEの情報

説明:
Windows Print Spooler Remote Code Execution Vulnerability

CVE更新日: 2021-06-08 23:15:08.267000

CVSSバージョン: 3.1

CVSSスコア: 7.8

KEVの情報

KEV更新日: 2021-11-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.853050000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2021-1675は、Windows Print Spoolerサービスにおけるリモートコード実行の脆弱性です。この脆弱性は「PrintNightmare」として知られる一連の脆弱性の一部とされていますが、元々は特権昇格の脆弱性として公開され、後にリモートコード実行の可能性が指摘されました。Microsoftは後に「PrintNightmare」という名称をCVE-2021-34527に対して使用していますが、両方の脆弱性を指して使われることも多いです。

1. 脆弱性の概要

Windows Print Spoolerサービス内の不適切な特権処理に起因します。認証されたユーザーが悪意のあるプリンタードライバーをインストールすることで、SYSTEMレベルの権限で任意のコードを実行できる可能性があります。

1.1 影響

攻撃者は、脆弱なシステム上でSYSTEMレベルの権限で任意のコードを実行することができます。これにより、マルウェアのインストール、データの窃盗や変更・削除、管理者権限を持つ新しいアカウントの作成など、システムを完全に制御することが可能になります。 特にドメインコントローラーが影響を受けた場合、攻撃者はドメイン資格情報にアクセスし、Active Directory環境全体にわたる永続的なアクセスを確立できます。

1.2 深刻度

CVSSv3.1の基本評価は7.8 (High) です。 CVSSベクトルは CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H です。 CISAのKnown Exploited Vulnerabilities Catalogにも含まれており、実際に悪用されていることが確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

事実上、すべてのバージョンのMicrosoft Windowsが影響を受けます。 具体的には、以下のWindowsバージョンが脆弱であるとされています。

  • Windows 10 (Version 1607, 1809, 1909, 2004, 21H1など)
  • Windows Server (2008 R2, 2012, 2012 R2, 2016, 2019, Server version 2004, 20H2など)
  • Windows 8.1
  • Windows RT 8.1
  • 32-bit Systems, x64-based Systems, ARM64-based Systems

2.2 影響を受ける設定

Print Spoolerサービスが有効になっているWindowsシステムが影響を受けます。このサービスはWindowsシステムでデフォルトで有効になっています。 特定のグループポリシー設定（例：「ポイント アンド プリントの制限」）が有効になっている場合でも、修正プログラムが適用されていなければ影響を受ける可能性があります。

3. 影響を受けた時の兆候

この脆弱性はリモートコード実行 (RCE) および特権昇格の脆弱性であるため、直接的な「兆候」としてユーザーが認識するものは少ない可能性があります。攻撃が成功した場合、攻撃者はシステムを制御し、以下のような活動を行う可能性があります。

  • システムログに不審なエラーやイベントが記録される。
  • 見慣れないプロセスがSYSTEM権限で実行されている。
  • 不審なネットワーク通信が発生する。
  • マルウェアがインストールされている。
  • 新しいユーザーアカウントが作成されている。

具体的な検出方法としては、DLLファイルの転送、NTLM認証の試行、関連するRPC呼び出しなどを監視することが挙げられます。

4. 推奨対策

4.1 本対策

MicrosoftはCVE-2021-1675に対処するためのセキュリティ更新プログラムをリリースしています。組織は、特定のWindowsバージョン用の最新の累積的な更新プログラムを適用する必要があります。これらのパッチは、RpcAddPrinterDriverEx()関数における不適切な特権検証に対処し、プリンタードライバーのインストールに対する適切なアクセス制御チェックを実装します。

4.2 暫定回避策（緩和策）

  • Print Spoolerサービスを無効にする: 印刷機能が不要なシステムでは、Print Spoolerサービスを完全に無効にすることが最も効果的な緩和策です。特にドメインコントローラーサーバーでは、通常、印刷機能はほとんど必要ありません。サービスを停止し、スタートアップの種類を「無効」に設定します。
  • グループポリシーによるリモート印刷のインバウンド接続の無効化: Windows Firewallルールを使用して、Print Spoolerサービスへのインバウンド接続をブロックします。
  • ネットワークセグメンテーションの実装: ワークステーションからサーバーへのSMBトラフィックを制限するために、ネットワークセグメンテーションを実装します。
  • 「ポイントと印刷の制限」の構成: グループポリシーを介して「ポイントと印刷の制限」を構成し、管理者による承認を必須とします（KB5005010以降が必要）。
  • ドライバーのインストールを管理者に限定する: レジストリ設定 HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\Printers\PointAndPrint の下に RestrictDriverInstallationToAdministrators をDWORD値 1 で設定します。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る