Trusted DesignCVE-2021-43890 の詳細
CVEの情報
説明:
We have investigated reports of a spoofing vulnerability in AppX installer that affects Microsoft Windows. Microsoft is aware of attacks that attempt to exploit this vulnerability by using specially crafted packages that include the malware family known as Emotet/Trickbot/Bazaloader.
An attacker could craft a malicious attachment to be used in phishing campaigns. The attacker would then have to convince the user to open the specially crafted attachment. Users whose accounts are configured to have fewer user rights on the system could be less impacted than users who operate with administrative user rights.
Please see the Security Updates table for the link to the updated app. Alternatively you can download and install the Installer using the links provided in the FAQ section.
Please see the Mitigations and Workaround sections for important information about steps you can take to protect your system from this vulnerability.
December 27 2023 Update:
In recent months, Microsoft Threat Intelligence has seen an increase in activity from threat actors leveraging social engineering and phishing techniques to target Windows OS users and utilizing the ms-appinstaller URI scheme.
To address this increase in activity, we have updated the App Installer to disable the ms-appinstaller protocol by default and recommend other potential mitigations.
CVE更新日: 2021-12-15 15:15:11.207000
CVSSバージョン: 3.1
CVSSスコア: 7.1
KEVの情報
KEV更新日: 2021-12-15
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.112940000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: False
CVE-2021-43890は、Microsoft WindowsのAppXインストーラーに存在するなりすましの脆弱性です。攻撃者は、この脆弱性を悪用してユーザーをだまし、悪意のあるソフトウェアをインストールさせることが可能です。
1. 脆弱性の概要
1.1 影響 本脆弱性は、Microsoft App Installerにおけるなりすましの脆弱性であり、攻撃者は巧妙に細工されたMSIX/AppXパッケージを作成し、フィッシングキャンペーンを通じて配布することが可能です。これにより、
ms-appinstallerURIスキームを悪用してユーザーをだまし、Emotet、Trickbot、Bazaloaderなどのマルウェアをインストールさせることができます。結果として、攻撃者はシステム上でコードを実行したり、パスワード、クレジットカード番号などの個人情報を盗んだり、システムを制御したりする可能性があります。この脆弱性は、すでに実環境で悪用が確認されています。1.2 深刻度 本脆弱性の深刻度は「高 (High)」です。CVSS 3.xの基本スコアは7.1と評価されています。 また、CISAの「既知の悪用されている脆弱性（Known Exploited Vulnerabilities - KEV）」カタログに掲載されており、金融を目的とした脅威アクターによってバンキング型トロイの木馬やランサムウェアを配布するために積極的に悪用されていることが示されています。
2. 対象となる環境
2.1 影響を受けるOSバージョン * Microsoft App Installer * Microsoft Windows 10 (バージョン 1507, 1709, 1803, 1809, 1903, 1909, 2004, 20H2, 21H1, 21H2) * Microsoft Windows 11 21H2
2.2 影響を受ける設定 本脆弱性は、Windows App Installerコンポーネントが
ms-appinstallerURIスキームを処理する方法に存在します。 このプロトコルは、ウェブソースからMSIXパッケージを直接インストールするプロセスを簡素化するために設計されました。 脆弱性を悪用することで、攻撃者は表示される発行元情報やアプリケーションの詳細を操作し、悪意のあるパッケージを信頼できるものに見せかけることが可能になります。3. 影響を受けた時の兆候
影響を受けた際の主な兆候としては、予期せぬ、または悪意のあるソフトウェア（Emotet、Trickbot、Bazaloaderなど）がシステムにインストールされることが挙げられます。 ユーザーは、不審なリンクや添付ファイルをクリックし、その後にインストールプロンプトが表示されたことを思い出すかもしれません。 攻撃が成功しマルウェアがインストールされた後には、システム動作の異常、パフォーマンスの低下、またはデータ窃盗などの兆候が見られる可能性があります。
4. 推奨対策
4.1 本対策 * Microsoftが2021年12月にリリースした最新のセキュリティ更新プログラムを適用してください。 * 特に、Windows 10 バージョン 1809以降にはMicrosoft Desktop Installer 1.16、Windows 10 バージョン 1709または1803にはMicrosoft Desktop Installer 1.11の更新プログラムが推奨されています。 * Microsoftは、この脆弱性の悪用増加に対応し、2023年12月27日に公開された更新プログラムで
ms-appinstallerプロトコルを既定で無効にしました。4.2 暫定回避策（緩和策） * Microsoftは、公式の脆弱性情報において緩和策と回避策に関する情報を提供しています。 * システム上で少ないユーザー権限で構成されたアカウントのユーザーは、影響が少ない可能性があります。 * 従業員や契約社員に対し、電子メールを介して配信される悪意のあるコンテンツを識別するためのトレーニングを実施し、潜在的に悪意のあるコンテンツを報告する手順を確立することが重要です。 *
ms-appinstallerプロトコルを無効にすることも有効な緩和策です（ただし、Microsoftは後にこれを既定で無効にしました）。参照したサイト