Trusted Design

解説:

CVE-2022-44698について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2022-44698は、Windows SmartScreenのセキュリティ機能のバイパスに関する脆弱性です。この脆弱性を悪用することで、攻撃者は「Mark of the Web (MOTW)」保護を回避する細工されたファイルを作成できます。MOTWは、インターネットからダウンロードされたファイルに適用されるNTFS代替データストリームであり、SmartScreenがファイルを開く際にセキュリティ警告を表示するかどうかを判断するために使用されます。この脆弱性により、SmartScreenがセキュリティチェックをスキップし、通常はユーザーに警告が表示されるはずの悪意のあるファイルを開く際に警告が表示されなくなります。

1.1 影響

この脆弱性が悪用されると、攻撃者はSmartScreenの警告を回避し、ソーシャルエンジニアリング攻撃をより効果的に実行できます。具体的には、ユーザーが悪意のあるコードを意識せずに実行させられる可能性があり、デバイスの制御、データ窃盗、追加のマルウェアのインストールなどにつながる可能性があります。この脆弱性は、ランサムウェアキャンペーンと関連付けられており、実際に悪用されていることが確認されています。

1.2 深刻度

CVSSv3.1のスコアは5.4で、評価基準はCVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:Lです。これは「中」程度の深刻度と評価されています。しかし、CISA (Cybersecurity and Infrastructure Security Agency) はこの脆弱性を「Known Exploited Vulnerabilities (KEV) Catalog」に追加しており、これは実際にこの脆弱性が現実の標的に対して悪用されているという確かな証拠があることを意味します。また、EPSS (Exploit Prediction Scoring System) スコアは0.66 (98th percentile) であり、悪用される可能性が非常に高いことを示しています。一部の情報源では「重大」な脆弱性と評価されています。

2. 対象となる環境

Microsoft WindowsのSmartScreenセキュリティ機能が影響を受けます。

2.1 影響を受けるOSバージョン

以下のWindows OSバージョンが影響を受けます。 * Windows 10 バージョン 1607 (10.0.14393.5582 より前) * Windows 10 バージョン 1809 (10.0.17763.3770 より前) * Windows 10 バージョン 20H2 (10.0.19042.2364 より前) * Windows 10 バージョン 21H1 (10.0.19043.2364 より前) * Windows 10 バージョン 21H2 (10.0.19044.2364 より前) * Windows 10 バージョン 22H2 (10.0.19045.2364 より前) * Windows 11 バージョン 21H2 (10.0.22000.1335 より前) * Windows Server 2016 (10.0.14393.5582 より前) * Windows Server 2019 (10.0.17763.3770 より前) * Windows Server 2022 (10.0.20348.1366 より前)

また、Windows 7 および Windows Server 2008 R2 以降のすべてのWindows OSバージョンに影響があるとされています。

2.2 影響を受ける設定

特定のユーザー設定によって脆弱性が誘発されるわけではありません。Windows SmartScreenの「Mark of the Web (MOTW)」保護機能の処理方法の欠陥が脆弱性の原因です。

3. 影響を受けた時の兆候

この脆弱性自体はセキュリティ機能のバイパスであるため、直接的な兆候は、インターネットからダウンロードされた悪意のあるファイルを開く際に、通常表示されるSmartScreenのセキュリティ警告が表示されないことです。もし攻撃が成功した場合、デバイスの制御の乗っ取り、データ窃盗、追加のマルウェア（ランサムウェアなど）のインストールといった、ペイロードによる兆候が現れます。

4. 推奨対策

4.1 本対策

Microsoftが提供するセキュリティ更新プログラムを適用することが最も重要な対策です。この脆弱性を修正する更新プログラムは、2022年12月13日（日本時間2022年12月14日）に公開されました。 Windows Updateを有効にしている場合は自動的に更新が適用されますが、そうでない場合は速やかに最新の更新プログラムをダウンロードしてインストールする必要があります。

4.2 暫定回避策（緩和策）

この脆弱性に対する具体的な暫定回避策は、本対策であるセキュリティ更新プログラムの適用以外には広く文書化されていません。本質的にセキュリティ機能のバイパスであるため、その機能自体を無効にする以外の回避策は限定的です。ただし、一般的なセキュリティ対策として、不審なファイルやメールの添付ファイルを安易に開かない、信頼できないソースからのソフトウェアをインストールしないといったユーザー側の注意が重要です。

その他解説すべき観点

• CISA KEV (Known Exploited Vulnerabilities) Catalogへの追加: CISAは2022年12月12日にCVE-2022-44698をKEVカタログに追加し、連邦政府機関に対して2023年1月3日までの修正を義務付けました。これは、この脆弱性が現実世界で積極的に悪用されていることを示す強いシグナルです。
• ランサムウェアとの関連: この脆弱性は、ランサムウェアキャンペーンと関連していることが確認されています。

参照したサイト

• CVE-2022-44698 - Microsoft Defender SmartScreen Security Feature Bypass Vulnerability
• CVE-2022-44698: Microsoft Defender SmartScreen Security Feature Bypass Vulnerability
• Patching Windows SmartScreen Security Feature Bypass Vulnerability (CVE-2022-44698)
• Patch Tuesday - December 2022 | Rapid7 Blog
• NVD-CVE-2022-44698 - NIST
• 2022年12月Microsoftセキュリティ更新プログラム公開。CVE-2022-44698は既に脆弱性の悪用を確認。 - KitPost
• Microsoft 製品の脆弱性対策について(2022年12月) | アーカイブ - IPA