Trusted Design

解説:

CVE-2022-26925 は、Windows ローカルセキュリティ機関 (LSA) のなりすましの脆弱性です。

1. 脆弱性の概要

1.1 影響

この脆弱性は、認証されていない攻撃者が、NTLM を使用してドメインコントローラーを別のサーバーに認証させることを強制する (coerce) ことを可能にします。これにより、リレー攻撃が可能となり、ドメインの侵害につながる可能性があります。特に、Active Directory 証明書サービス (AD CS) に対する NTLM リレー攻撃と組み合わせることで、攻撃者はドメイン管理者権限を取得する可能性があります。攻撃が成功した場合、影響を受けるシステムを制御し、機密データを窃取したり、悪意のあるコードを実行したりする可能性があります。

1.2 深刻度

• CVSSv3.1 ベーススコア: 8.1 (High)
• AD CS に対する NTLM リレー攻撃と組み合わせた場合、CVSS スコアは 9.8 (Critical) に上昇します。
• Microsoft はこの脆弱性を「重要 (Important)」と評価しています。
• 米国サイバーセキュリティ・インフラストラクチャセキュリティ庁 (CISA) は、パッチ適用がドメインコントローラーに与える影響のため、一時的に「既知の悪用された脆弱性カタログ」からこの脆弱性を削除しました。
• IPA は、Microsoft 社がこの脆弱性の悪用の事実を確認済みであると公表しており、被害拡大のおそれがあるため、修正プログラムの適用を至急行うよう呼びかけています。

2. 対象となる環境

2.1 影響を受ける OS バージョン

広範囲の Microsoft Windows オペレーティングシステムが影響を受けます。具体的には以下のバージョンが含まれます。 * クライアント OS: * Windows 7 SP1 (32ビット版、x64ベースシステム版) * Windows 8.1 (32ビット版、x64ベースシステム版) * Windows RT 8.1 * Windows 10 (バージョン 1607, 1809, 1909, 20H2, 21H1, 21H2 の 32ビット版、x64ベースシステム版、ARM64ベースシステム版) * Windows 11 (ARM64ベースシステム版、x64ベースシステム版) * サーバー OS: * Windows Server 2008 SP2 (32ビット版、x64ベースシステム版、Server Core インストール) * Windows Server 2008 R2 SP1 (x64ベースシステム版、Server Core インストール) * Windows Server 2012 (Server Core インストールを含む) * Windows Server 2012 R2 (Server Core インストールを含む) * Windows Server 2016 (Server Core インストールを含む) * Windows Server 2019 (Server Core インストールを含む) * Windows Server 2022 (Server Core インストールを含む) * Windows Server version 20H2 (Server Core インストール)

2.2 影響を受ける設定

この脆弱性は、Windows LSA が認証要求を処理する方法に起因しており、LSA の認証メカニズムにおける根本的な弱点です。 特に、Active Directory 証明書サービス (AD CS) がインストールされた環境での NTLM リレー攻撃と組み合わせることで危険性が高まります。 ルートの原因は、Windows ローカルセキュリティ機関サブシステム内の重要な機能に対する認証チェックが不足していることです。LSA が認証要求を適切に検証しないため、認証されていない攻撃者がドメインコントローラーのマシンアカウントを含む特権システムアカウントからの認証試行をトリガーできます。

3. 影響を受けた時の兆候

この脆弱性が直接悪用された際の具体的な兆候については、参照したサイトには明示的な記載がありません。

4. 推奨対策

4.1 本対策

Microsoft から提供されているセキュリティ更新プログラムを適用してください。この脆弱性は、2022年5月の月例セキュリティ更新プログラムで対処されています。 * Windows Update を利用して修正プログラムを適用することを推奨します。 * Windows Server 2022 の場合、帯域外 (OOB) 更新プログラム KB5091575 またはホットパッチ更新プログラム KB5091576 がリリースされています。

4.2 暫定回避策（緩和策）

• Microsoft は、「Mitigating NTLM Relay Attacks on AD CS (KB5005413)」を参照するよう案内しています。
• Palo Alto Networks の次世代ファイアウォール（脅威防御サブスクリプション付き）、Cortex XDR などの製品は、この脆弱性に対する保護を提供します。
• トレンドマイクロ製品も保護を提供します。

参照サイト

• SentinelOne: CVE-2022-26925: Windows LSA Spoofing Vulnerability
• InvGate's Blog: Patch Windows LSA Spoofing Vulnerability (CVE-2022-26925)
• Rackspace: Windows LSA Spoofing Vulnerability CVE-2022-26925
• Palo Alto Networks Unit 42: 脅威に関する情報: Microsoft製品の重大脆弱性(CVE-2022-26809 - Palo Alto Networks Unit 42
• CVE Record: CVE-2022-26925
• Security NEXT: 米政府、「CVE-2022-26925」を緊急対応リストから一時削除 - DCへの影響で
• JVN iPedia - 脆弱性対策情報データベース: JVNDB-2022-001857
• IPA: Microsoft 製品の脆弱性対策について(2022年5月)
• マイナビニュース: Windows LSAの活発な悪用を確認、確認と更新を
• Microsoft Learn: Windows Server 2022 で解決された問題
• Palo Alto Networks Unit 42: Threat Brief: Microsoft Critical Vulnerabilities (CVE-2022-26809, CVE-2022-26923, CVE-2022-26925)
• Trend Micro: 2022年5月のセキュリティアップデート解説｜トレンドマイクロ
• ITmedia: 異例の対応？ CISAがカタログに追加した脆弱性を一度取り下げた理由