Trusted Design

CVE-2022-38028 の詳細

CVEの情報

説明:
Windows Print Spooler Elevation of Privilege Vulnerability

CVE更新日: 2022-10-11 19:15:15.067000

CVSSバージョン: 3.1

CVSSスコア: 7.8

KEVの情報

KEV更新日: 2024-04-23

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.149490000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2022-38028に関する脆弱性の調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2022-38028は、Windows Print Spoolerサービスにおける権限昇格の脆弱性です。この脆弱性を悪用することで、低い特権を持つ攻撃者がSYSTEMレベルのアクセス権限を取得する可能性があります。

1.1 影響

本脆弱性が悪用されると、攻撃者は影響を受けるシステム上でSYSTEMレベルの権限に昇格することができます。これにより、リモートコード実行、バックドアのインストール、資格情報の窃取などが可能になります。

1.2 深刻度

本脆弱性の深刻度は「高」と評価されており、CVSSスコアは7.8です。 米国サイバーセキュリティ・インフラセキュリティ庁 (CISA) は、この脆弱性を「積極的に悪用されている既知の脆弱性（Known Exploited Vulnerabilities Catalog）」に含めています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

主にWindows Print Spoolerサービスが稼働しているWindowsシステムが影響を受けます。具体的には以下のOSバージョンが影響を受けることが確認されています。 * Windows 10 for 32-bit Systems * Windows 10 for x64-based Systems * Windows 10 Version 1607 for 32-bit Systems

影響を受けるすべてのWindowsバージョンについては、Microsoftのセキュリティ更新プログラムガイドを参照することが推奨されます。

2.2 影響を受ける設定

Windows Print Spoolerサービスが有効になっている場合（ほとんどのWindowsシステムでデフォルトで有効）に影響を受けます。

3. 影響を受けた時の兆候

以下の兆候が確認される場合があります。 * spoolsv.exe（Print Spoolerサービスプロセス）からの異常なプロセス生成。 * Windows Print Spoolerディレクトリ（%SystemRoot%\System32\spool\) 内のファイルの予期せぬ変更。 * Print Spoolerアクティビティと相関する異常な権限昇格イベント。 * 低権限のユーザーによって開始された、Print Spoolerコンポーネントを標的とした疑わしいDLLのロードまたはファイル操作。 * 保護された「Print to PDF MPDW constraints」スクリプトの改変。 * レジストリキーにおける不正なプロトコルハンドラまたはCLSIDのリダイレクトの作成。

4. 推奨対策

4.1 本対策

  • すべての影響を受けるシステムに、CVE-2022-38028に対応するMicrosoftのセキュリティ更新プログラムを直ちに適用してください。
  • 特にドメインコントローラーや重要なインフラストラクチャサーバーへのパッチ適用を優先してください。

4.2 暫定回避策（緩和策）

  • 印刷が不要なシステム、特にドメインコントローラーでは、Print Spoolerサービスを無効にしてください。
  • 印刷管理の権限を制限してください。
  • ゼロトラストの原則を組織に導入することを検討してください。
  • パッチ適用前に侵害された可能性のあるシステムを特定するために、セキュリティ評価を実施してください。

他に解説すべき観点

  • 積極的な悪用: ロシアのハッキンググループ「Forest Blizzard（別名Fancy Bear、APT28）」が、「GooseEgg」と呼ばれるカスタムツールを使用して、この脆弱性を積極的に悪用していることが確認されています。
  • ゼロデイ脆弱性: この脆弱性は、Microsoftが2022年10月にパッチをリリースするまで、約4年間にわたりゼロデイ脆弱性として悪用されていました。
  • Print Spoolerの置き換え: Windows Print Spoolerサービスは、過去に多くの脆弱性が悪用されてきたため、Microsoftは「Windows Protected Print Mode (WPP)」への置き換えを進めています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る