Trusted Design

CVE-2021-41379 の詳細

CVEの情報

説明:
Windows Installer Elevation of Privilege Vulnerability

CVE更新日: 2021-11-10 01:19:32.127000

CVSSバージョン: 3.1

CVSSスコア: 5.5

KEVの情報

KEV更新日: 2022-03-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.194520000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2021-41379は、Windows Installerの特権昇格の脆弱性です。以下に、指定された観点から解説します。

1. 脆弱性の概要

CVE-2021-41379は、Microsoft Windows Installerにおける特権昇格の脆弱性です。Microsoftは2021年11月の月例セキュリティ更新プログラムでこの脆弱性の修正を試みましたが、セキュリティ研究者Abdelhamid Naceri氏によってパッチが不完全であり、バイパスが可能であることが発見されました。さらにNaceri氏は、元の脆弱性よりも強力な亜種を発見し、その概念実証（PoC）コードを公開しています。

この脆弱性の根本原因は、Windows InstallerサービスがMSIパッケージを処理する際、ファイル操作を行う前にシンボリックリンクの検証を適切に行わない点にあります。

1.1 影響

この脆弱性が悪用されると、ローカルの認証された攻撃者が、標準ユーザーの権限でシステムにアクセスしている場合でも、SYSTEM権限を取得し、任意のコードを実行できる可能性があります。攻撃者は、Microsoft Edge Elevation ServiceのDACL（Discretionary Access Control List）を上書きし、システム上の任意の実行可能ファイルをMSIファイルに置き換えることで、管理者権限で悪意のあるコードを実行します。特権昇格後、攻撃者は侵害されたシステムを完全に制御し、追加のソフトウェアのダウンロード、機密情報の変更、削除、持ち出しが可能になります。

1.2 深刻度

CVE-2021-41379のCVSSv3.1スコアは7.8（HIGH）です。CVSSv3.1のベクトルはAV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:Hです。

また、この脆弱性はCISA（Cybersecurity and Infrastructure Security Agency）のKnown Exploited Vulnerabilities（KEV）カタログに追加されており、実際に悪用されたことが確認されています。KEVへの登録は、CVSSスコア単独よりも高い優先度を示唆します。さらに、この脆弱性はランサムウェア攻撃で利用されたことも確認されています。

2. 対象となる環境

この脆弱性は、広範囲のMicrosoft Windowsオペレーティングシステムに影響を与えます。

2.1 影響を受けるOSバージョン

この脆弱性は、Windows 10、Windows 11、Windows Server 2022、および現在サポートされているほとんどのWindowsバージョンに影響を及ぼします。NVD（National Vulnerability Database）には以下の具体的なバージョンが記載されています:

  • Windows 10 Version 1507, 1607, 1809, 1909, 2004, 20H2, 21H1
  • Windows 11 version 21H2
  • Windows 7 Service Pack 1
  • Windows 8.1
  • Windows Server 2008 R2 Service Pack 1 (Server Core installationを含む)
  • Windows Server 2008 Service Pack 2 (Server Core installationを含む)
  • Windows Server 2012 (Server Core installationを含む)
  • Windows Server 2012 R2 (Server Core installationを含む)
  • Windows Server 2016 (Server Core installationを含む)

2.2 影響を受ける設定

  • Microsoft Edge Elevation Service (elevation_service.exe) のDACLが上書きされる可能性があるシステム。
  • 標準ユーザーによるMSIインストーラー操作を防ぐグループポリシーを設定している環境でも、この脆弱性は回避される可能性があります。

3. 影響を受けた時の兆候

以下のような兆候が影響を受けたシステムで観測される可能性があります。

  • ユーザーが書き込み可能なディレクトリ内で、システムディレクトリを指すジャンクションポイントやシンボリックリンクが不審に作成される。
  • 保護されたパスでの予期しないファイル操作を含む、msiexec.exeプロセスの異常な動作。
  • 攻撃のPoCである「InstallerFileTakeOver.exe」が実行された場合、EDR製品などで特定の脅威アラートがトリガーされる可能性がある。
  • 「InstallerFileTakeOver.exe」は、実行時に%userprofile%\AppData\Local\Temp\{ }\microsoft plz\というフォルダを作成し、その後すぐに削除する。
  • プロセス「elevation_service.exe」の異常な動作。
  • WindowsイベントログにMsiInstallerをソースとして、イベントID 1033が記録される可能性がある。

4. 推奨対策

4.1 本対策

  • Microsoftは2021年11月の月例セキュリティ更新プログラムでCVE-2021-41379に対応するセキュリティアップデートをリリースしています。組織は、自身のWindowsバージョンに適した累積的な更新プログラムを適用する必要があります。
  • 詳細なパッチ情報とダウンロードリンクは、Microsoft Security Advisory for CVE-2021-41379 で入手可能です。
  • ただし、最初のパッチは不完全であり、その後も脆弱性が残存する可能性があるため、Microsoftからの追加のセキュリティパッチを待つことが最善の回避策とされています。

4.2 暫定回避策（緩和策）

  • パッチをすぐに適用できないシステムでは、ローカルユーザーのアクセスを制限することを検討する。
  • Windows Defender Application Control (WDAC) またはAppLockerを使用して、信頼できる発行元からのMSIパッケージの実行のみを制限する。
  • 最小権限の原則を実装し、潜在的な悪用の影響を最小限に抑える。
  • MSIインストールが不要な重要なシステムでは、Windows Installerサービスを一時的に無効にすることを検討する（ただし、これはソフトウェア展開操作に影響を与える可能性があります）。
    • サービスを一時的に無効にするコマンド例: sc config msiserver start= disabled および sc stop msiserver。
    • パッチ適用後に再有効化するコマンド例: sc config msiserver start= demand。
  • Microsoft Edge Elevation Serviceを無効にする (sc config elevation_service start= disabled や手動でサービス起動タイプを「無効」に変更するなど)。しかし、一部の専門家はWindows Installerを破損させる可能性があるため、このような緩和策を試みないことを推奨しています。

参照したサイト

その他解説すべき観点

  • ゼロデイ脆弱性としての特性: CVE-2021-41379は、Microsoftがパッチをリリースした後、そのパッチの不完全性から新たなゼロデイ脆弱性として発見され、PoCが公開されました。これは、パッチ適用後も脆弱性が残存する可能性があるという点で特に危険視されました。
  • CISA KEVへの登録: 米国CISAのKnown Exploited Vulnerabilitiesカタログに登録されていることは、この脆弱性が実際に悪用されたという確かな証拠があることを意味し、その修正には高い優先度が付与されています。

NVDサイト

NVDでCVEの詳細を見る

戻る