Trusted Design

CVE-2022-21999 の詳細

CVEの情報

説明:
Windows Print Spooler Elevation of Privilege Vulnerability

CVE更新日: 2022-02-09 17:15:09.563000

CVSSバージョン: 3.1

CVSSスコア: 7.8

KEVの情報

KEV更新日: 2022-03-25

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.732050000

EPSS更新日: 2026-06-12 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2022-21999に関する調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2022-21999は、「SpoolFool」とも呼ばれる、Microsoft WindowsのPrint Spoolerサービスにおける特権昇格の脆弱性です。この脆弱性は、印刷ジョブやプリンタードライバーの操作時に、ディレクトリパスが不適切に処理されることに起因します。具体的には、プリンターポートのパスを操作することで、以前の印刷スプーラー特権昇格の脆弱性に存在したセキュリティチェックを回避します。

1.1 影響

この脆弱性が悪用されると、ローカルで認証された攻撃者がSYSTEMレベルまで特権を昇格させることが可能になります。これにより、攻撃者は影響を受けるシステム上で任意のコードをSYSTEM権限で実行し、プログラムのインストール、データの変更、完全な管理者権限を持つ新しいアカウントの作成など、システムを完全に制御できる可能性があります。

1.2 深刻度

  • CVSS v3.1 ベーススコア: 7.8 (High)
  • CVSS v2.0 ベーススコア: 4.6 (Medium)
  • この脆弱性は、「Critical（緊急）」と評価されることがあり、これは容易に「SYSTEM」アクセスが可能であり、他の脆弱性やマルウェア、ルートキットと組み合わせて悪用される可能性があるためです。
  • CISA（サイバーセキュリティ・インフラセキュリティ庁）の既知の悪用されている脆弱性カタログに掲載されており、実際の攻撃で悪用が確認されていることを示しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

CVE-2022-21999は、以下のMicrosoft Windowsオペレーティングシステムに影響を与えます。

  • Windows 7 for x64-based Systems Service Pack 1
  • Windows 8.1 for x64-based systems, Windows RT 8.1
  • Windows 10 (バージョン 1507, 1607, 20H2, 21H1, 21H2など) (x64ベース、32ビット、ARM64ベースのシステムを含む)
  • Windows 11 (x64ベースおよびARM64ベースのシステムを含む)
  • Windows Server 2008 R2 for x64-based Systems Service Pack 1
  • Windows Server 2008 for x64-based Systems Service Pack 2
  • Windows Server 2012, Windows Server 2012 R2
  • Windows Server 2016
  • Windows Server 2019
  • Windows Server 2022
  • Windows Server version 20H2 (Server Core Installation)

Print Spoolerサービスは、ほとんどのWindowsシステムでデフォルトで起動時にロードされるため、多くのパッチが適用されていないシステムがリスクにさらされている可能性があります。

2.2 影響を受ける設定

この脆弱性は、Microsoft WindowsのPrint Spoolerサービス (spoolsv.exe) に存在します。このサービスはデフォルトでシステム起動時にロードされます。脆弱性は、特にPrint Spoolerサービスがプリンタージョブやドライバー操作を処理する際のディレクトリパスの不適切な取り扱いが悪用されることによります。攻撃者は、SpoolDirectory構成設定やプリンターポートのパスを操作し、シンボリックリンクなどの手法を用いて、特権のあるディレクトリに任意のファイルを書き込み、DLLとしてロードさせて管理者権限で実行させることでセキュリティチェックを回避します。弱点列挙としては、CWE-59 (Improper Link Resolution) と CWE-22 (Path Traversal) が挙げられます。

3. 影響を受けた時の兆候

この脆弱性によって直接的にユーザーが認識できる特定の兆候は、一般的には報告されていません。攻撃が成功すると、攻撃者はSYSTEM権限を獲得します。その後の兆候としては、攻撃者がSYSTEM権限で実行した任意のアクション（例：不審なアカウントの作成、データの改ざん、意図しないプログラムのインストールなど）に依存します。

4. 推奨対策

4.1 本対策

ベンダー（Microsoft）の指示に従って、速やかにセキュリティ更新プログラムを適用することが強く推奨されます。Microsoftは2022年2月の月例パッチでこの脆弱性に対応する更新プログラムをリリースしています。

4.2 暫定回避策（緩和策）

明示的な暫定回避策は限定的ですが、以下のような措置が考えられます。 * Print Spoolerサービスが不要な場合は、サービスを手動起動に設定するか、無効にすることを検討できます。ただし、Print SpoolerはWindowsの主要なコンポーネントであり、無効にすると印刷機能全般に影響が出るため、注意が必要です。

その他解説すべき観点

  • この脆弱性は、ローカル特権昇格 (LPE) の脆弱性であり、攻撃者は悪用するためにシステムへのローカルアクセスが必要です。
  • CVE-2022-21999は、以前のPrint Spoolerサービスにおける特権昇格の脆弱性（例：CVE-2020-1030）のセキュリティチェックを回避するものです。
  • 概念実証 (PoC) コードが一般に公開されており、実際に攻撃で悪用されていることが確認されています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る