Trusted Design

解説:

CVE-2021-34484について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2021-34484は、Windows User Profile Serviceにおける権限昇格の脆弱性です。認証されたローカルの攻撃者が、脆弱なWindowsホスト上でサービスを悪用して権限を昇格させることが可能です。この脆弱性は、Windows User Profile Serviceがログオン時にプロファイルパスやジャンクションポイントを処理する方法を、認証されたローカルユーザーが操作できる点に存在し、これにより、許可されていない範囲で特権的なファイル操作を実行し、より高い権限を持つアカウント（通常はNT AUTHORITY\SYSTEM）のコンテキストでコードを実行させることが可能になります。

1.1 影響

この脆弱性が悪用されると、影響を受けるシステムの機密性、完全性、可用性が完全に侵害される可能性があります。攻撃に成功すると、SYSTEMとして任意のファイルの書き込みやDLLの植え付けが行われ、完全なローカル権限昇格につながります。

1.2 深刻度

CVE-2021-34484のCVSSv3.1基本スコアは7.8（High）です。 ベクトルは「CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H」と評価されています。 CISA（米国サイバーセキュリティ・インフラセキュリティ庁）のKnown Exploited Vulnerabilities（KEV）カタログにも追加されており、実環境で活発に悪用されていることが確認されています。 EPSS（Exploit Prediction Scoring System）のスコアは21.661%（97パーセンタイル）または21.8%であり、悪用される可能性が高いことを示しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は、広範囲のWindowsクライアントおよびサーバーリリースに影響を与えます。 具体的には以下のバージョンが影響を受けます。

• Microsoft Windows 10 (バージョン 1507, 1607, 1809, 1909, 2004, 20H2, 21H1)
• Microsoft Windows 7 SP1, Windows 8.1, および Windows RT 8.1
• Microsoft Windows Server 2008 SP2, 2008 R2 SP1, 2012, 2012 R2, 2016, 2019, Server 2004, および Server 20H2

また、初期の修正が不完全であったため、Windows 10、Windows 11、Windows Server 2022を含むすべてのWindowsバージョンが、完全にパッチが適用されていても影響を受ける可能性があるとされています。

2.2 影響を受ける設定

この脆弱性は、Windows User Profile Service内に存在します。このサービスはログオン時にユーザープロファイルをロードおよび管理するシステムコンポーネントです。 認証されたローカルユーザーが、このサービスがプロファイルパスやジャンクションポイントを処理する方法を操作することが悪用経路となります。 悪用には低い特権が必要であり、ユーザーの操作は不要です。

3. 影響を受けた時の兆候

以下のような兆候が確認される場合があります。

• User Profile Service (ProfSvc) をホストする svchost.exe から、特にSYSTEM権限でコマンドインタープリターや rundll32.exe などの予期せぬ子プロセスが生成される。
• 標準ユーザーによって、C:\Users\ または C:\ProgramData\ 配下のパスを対象とするシンボリックリンク、ジャンクション、またはハードリンクが作成される。
• 特権プロセスがロードされる直前に、ユーザーが書き込み可能なプロファイルディレクトリに新規または変更されたDLLが出現する。
• 低い特権のセッションに続いて、同じログオンセッションから発信されたSYSTEMレベルのアクティビティが突然発生するなど、予期せぬ権限遷移が見られる。

4. 推奨対策

4.1 本対策

• Microsoftは、User Profile Serviceの脆弱性に対処する2021年8月（およびそれ以降の）累積的なセキュリティ更新プログラムをリリースしています。 Microsoft Security Advisory CVE-2021-34484 に従って、これらの更新プログラムを適用してください。
• 初期の修正にはバイパスが発見されたため、2021年8月の元のパッチ単独ではなく、最新の累積的な更新プログラムを適用することが重要です。
• Microsoftはバイパスが発見された後も「顧客を保護するために適切な措置を講じる」と約束しています。

4.2 暫定回避策（緩和策）

• ローカルユーザーが悪用する可能性が高い、ターミナルサーバー、VDIホスト、共有ワークステーションなどのマルチユーザーシステムでの修正を優先してください。
• 攻撃対象領域を減らすために、ローカルユーザーアカウントを監査し、不要な対話型ログオン権限を削除してください。
• Microsoftによる公式の修正が提供されるまで、サードパーティのセキュリティ専門家である0patchが、CVE-2021-34484のバイパスを利用した攻撃をブロックする無料の「マイクロパッチ」をリリースしました。これは、2021年10月または11月の更新が適用された様々なWindows 10バージョンで利用可能でした。

参照したサイト

• CVE-2021-34484: Windows 10 Privilege Escalation Flaw - SentinelOne
• Windows User Profile Service Elevation of Privilege... · CVE-2021-34484 - GitHub
• Microsoft Windows User Profile Service Privilege Escalation Vulnerability - Griffin Technology Partners
• Known Exploited Vulnerabilities Catalog - CISA
• Zero-day bug in all Windows versions gets free unofficial patch - Bleeping Computer
• All Windows Versions Impacted By New Zero-Day Hack, 0patch Buys Time - Forbes
• CVE-2021-34484 — Patch first | CVE Explorer | Peter Bassill
• NVD-CVE-2021-34484 - NIST