Trusted DesignCVE-2022-41033 の詳細
CVEの情報
説明:
Windows COM+ Event System Service Elevation of Privilege Vulnerability
CVE更新日: 2022-10-11 19:15:20.567000
CVSSバージョン: 3.1
CVSSスコア: 7.8
KEVの情報
KEV更新日: 2022-10-11
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.018860000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: False
CVE-2022-41033は、Microsoft WindowsのCOM+ Event System Serviceにおける権限昇格の脆弱性です。この脆弱性は活発な悪用が確認されており、CISAの既知の悪用されている脆弱性カタログ（KEV）にも追加されています。
1. 脆弱性の概要
1.1 影響 攻撃者がこの脆弱性を悪用した場合、ローカルの認証されたユーザーがSYSTEM権限を取得する可能性があります。 これは、攻撃者がすでにシステムにアクセスしている場合に、その権限をより高いレベルに昇格させることを可能にします。
1.2 深刻度 この脆弱性はCVSSv3.1で基本値「7.8」と評価されており、「High（高）」の深刻度とされています。 CISAのKEVカタログに掲載されていることから、実際に悪用されていることが確認されており、CVSSスコアだけでは判断できない深刻な脅威であると認識されています。
2. 対象となる環境
2.1 影響を受けるOSバージョン CVE-2022-41033は、以下のWindowsバージョンが影響を受けます。 * Windows 8.1 * Windows 10 (Version 1809, 20H2, 21H1, およびそれ以降のバージョンを含む) * Windows 11 * Windows Server 2012 R2 * Windows Server 2016 * Windows Server 2019 * Windows Server 2022 * Windows Server 2008 R2 SP1 (x64) * Windows 7 (非公式な情報では影響を受ける可能性があるとされていますが、ベンダーからは明示されていません)
2.2 影響を受ける設定 この脆弱性はWindows COM+ Event System Serviceに存在するため、特別な設定に依存するものではなく、サービスが有効なWindows環境であれば影響を受ける可能性があります。COM+ Event Systemサービスは、通常、OSがインストールされていれば自動的に開始されるため、明示的に無効化されていない限り、システムは脆弱な状態にあります。
3. 影響を受けた時の兆候
この脆弱性は権限昇格の脆弱性であるため、直接的なシステム障害や明確なエラーメッセージとして現れる兆候は不明です。攻撃に成功した場合、攻撃者はSYSTEM権限で任意のコードを実行できるようになるため、不正なプロセスの実行、設定の変更、データの窃取、マルウェアのインストールなど、他の悪意のある活動の兆候に注意が必要です。ただし、これらは脆弱性自体の兆候ではなく、悪用後の活動によるものです。
4. 推奨対策
4.1 本対策 Microsoftが提供しているセキュリティ更新プログラムを適用することが最も重要かつ推奨される対策です。 2022年10月の月例セキュリティ更新プログラム（パッチチューズデー）で修正が提供されています。 * Windows Updateを利用して、最新のセキュリティ更新プログラムを適用してください。 * 詳細はMicrosoftのセキュリティ更新プログラムガイド（MSRC）のCVE-2022-41033のページを参照してください。
4.2 暫定回避策（緩和策） 明確な暫定回避策（緩和策）については、特定のレジストリ設定やサービス無効化といった情報は見当たりませんでした。この脆弱性はすでに悪用が確認されているため、可能な限り早急に修正プログラムを適用することが強く推奨されています。
その他に解説すべき観点
CISAのKnown Exploited Vulnerabilities (KEV) カタログへの追加 CVE-2022-41033は、CISAのKnown Exploited Vulnerabilities (KEV) カタログに2022年10月11日に追加されています。 これは、米国の連邦政府機関がこの脆弱性に対して期限内に修正プログラムを適用する必要があることを意味し、実際に悪用されているという強い証拠となります。
参照したサイト