Trusted Design

CVE-2023-28229 の詳細

CVEの情報

説明:
Windows CNG Key Isolation Service Elevation of Privilege Vulnerability

CVE更新日: 2023-04-11 21:15:23.387000

CVSSバージョン: 3.1

CVSSスコア: 7.0

KEVの情報

KEV更新日: 2023-10-04

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.016710000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2023-28229に関する調査結果を以下の観点で解説します。

1. 脆弱性の概要

CVE-2023-28229は、Microsoft Windows Cryptography Next Generation (CNG) Key Isolation Serviceにおける特権昇格の脆弱性です。この脆弱性は、Windowsのlsass.exeプロセス内で実行されるKey Isolationサービスにおける、不適切なメモリ管理（CWE-591）または不適切な同期（CWE-662）に起因する競合状態（race condition）にあります。

この脆弱性は、認証されたローカルの攻撃者が悪用可能であり、すでに実環境で活発な悪用が確認されています。CISA (米国サイバーセキュリティ・インフラセキュリティ庁) は、この脆弱性を既知の悪用されている脆弱性（KEV: Known Exploited Vulnerabilities）カタログに追加しており、迅速な対策が求められています。

1.1 影響

この脆弱性が悪用された場合、攻撃者は影響を受けるWindowsエンドポイントおよびサーバー上でSYSTEMレベルの権限を獲得できます。これにより、システム全体の機密性、完全性、および可用性が侵害される可能性があります。具体的には、セキュリティ制御を迂回し、機密性の高い暗号化キーへの不正アクセス、または特権の高いコンテキストでの任意のコードやコマンドの実行が可能になります。

1.2 深刻度

  • NVD CVSSv3 基本スコア: 7.0 (High)
  • Microsoftの分類: 重要 (Important)

CISAによって既知の悪用されている脆弱性としてリストされているため、連邦機関には2023年10月25日までの修正期限が設定されており、非常に緊急性の高い脆弱性として扱われています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は、Microsoft WindowsのCNG Key Isolation Serviceに影響を及ぼし、以下のバージョンが含まれます:

  • Windows 10: 1507, 1607, 1809, 20H2, 21H2, 22H2
  • Windows 11: 21H2, 22H2
  • Windows Server: 2008 SP2, 2008 R2 SP1, 2012, 2012 R2, 2016, 2019, 2022
  • 注記: Windows 7およびServer 2008 R2システムは、関連するコードが異なるため、この脆弱性の影響を受けません。

2.2 影響を受ける設定

この脆弱性は、WindowsのCNG Key Isolation Serviceに内在するものであり、特定の「設定」を有効または無効にすることで脆弱になるわけではありません。このサービスはOSの一部としてデフォルトで実行されます。 影響を受ける設定については、不明です。

3. 影響を受けた時の兆候

この脆弱性が悪用された際の具体的な兆候は詳細には説明されていません。しかし、SOCRadarは、悪用を検出するために「影響を受けるベンダー/製品/バージョンの組み合わせを実行している公開された資産を特定し、緊急の修正対応として扱うこと」「脆弱性クラスに一致するエクスプロイトプローブ、エラー、認証の異常、または疑わしい子プロセスについて利用可能なログを検索すること」を推奨しています。

4. 推奨対策

4.1 本対策

  • セキュリティ更新プログラムの適用: Microsoftは、2023年4月11日にこの脆弱性に対処するセキュリティ更新プログラムをリリースしています。影響を受けるすべてのWindowsクライアントおよびサーバーバージョンに、これらの更新プログラムを適用することが強く推奨されます。
  • Microsoft Security Update Guideの参照: 各オペレーティングシステムビルドに適用される特定のKB記事については、Microsoft Security Update GuideのCVE-2023-28229を参照してください。
  • CNG Key Isolation Serviceの更新: 固定リリースにアップグレードしてください。

4.2 暫定回避策（緩和策）

具体的な技術的な暫定回避策は詳細には示されていませんが、以下の一般的なセキュリティ対策が推奨されます。

  • パッチ適用の優先順位付け: マルチユーザーシステム、ジャンプホスト、ターミナルサーバー、および信頼できないローカルコードが実行される可能性のあるすべてのエンドポイントでのパッチ適用を優先してください。
  • 暗号化キーと資格情報のローテーション: 侵害が疑われるホストでは、暗号化キーと資格情報をローテーションしてください。SYSTEMレベルのアクセスは、保存されている秘密情報の信頼性を損なうためです。
  • ローカルアカウントの監査と権限の削除: ローカルアカウントを監査し、不要な対話型ログオン権限を削除して、ローカルの攻撃対象領域を減らしてください。
  • CISAの推奨事項: ベンダーの指示に従って緩和策を適用するか、緩和策が利用できない場合は製品の使用を中止してください。

他に解説すべき観点

  • 積極的な悪用: CISAがKEVカタログに追加したことにより、この脆弱性が実際に攻撃者に悪用されていることが確認されており、迅速な対応の必要性が強調されています。
  • PoCの公開: CVE-2023-28229のProof-of-Concept (PoC) が公開されています。これは、攻撃者がこの脆弱性を容易に悪用できることを示唆しています。
  • ローカルアクセスが必要: この攻撃はローカルアクセスを必要とします。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る