CVE詳細 - CVE-2023-36025-

CVE-2023-36025 の詳細

CVEの情報

説明:
Windows SmartScreen Security Feature Bypass Vulnerability

CVE更新日: 2023-11-14 18:15:31.867000

CVSSバージョン: 3.1

CVSSスコア: 8.8

KEVの情報

KEV更新日: 2023-11-14

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.880850000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2023-36025について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2023-36025は、Windows SmartScreenのセキュリティ機能のバイパスの脆弱性です。この脆弱性を悪用することで、攻撃者はWindows SmartScreenの保護機能を迂回し、悪意のあるファイルをユーザーに警告なしに実行させることが可能になります。具体的には、特別に細工されたインターネットショートカットファイル（.URL）を利用して、通常のセキュリティ警告を回避することができます。

1.1 影響

この脆弱性が悪用されると、攻撃者はWindows SmartScreenによるセキュリティチェックと警告プロンプトをバイパスし、ユーザーに悪意のあるペイロード（マルウェアなど）をダウンロードおよび実行させることができます。成功した場合、情報窃取、ランサムウェアの展開、または被害者のマシンに対する完全なリモート制御につながる可能性があります。例えば、「Phemedrone Stealer」のような情報窃取マルウェアの展開に悪用された事例が確認されています。このマルウェアは、Webブラウザ、暗号資産ウォレット、メッセージングアプリ（Telegram、Steam、Discordなど）のデータを標的とし、スクリーンショットの撮影やシステム情報の収集を行います。

1.2 深刻度

CVE-2023-36025は、CVSS v3.1基本スコアが8.8（HIGH）と評価されており、高い深刻度を持つ脆弱性です。米国サイバーセキュリティ・社会基盤安全保障庁（CISA）の「既知の悪用されている脆弱性（Known Exploited Vulnerabilities：KEV）」カタログにも追加されており、活発な悪用が確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は、幅広いMicrosoft Windowsオペレーティングシステムに影響を与えます。影響を受ける具体的なバージョンには、以下のものが含まれます。

Windows 10 (バージョン 1809, 21H2, 22H2など)
Windows 11 (バージョン 21H2, 22H2など)
Windows Server (2019, 2022など)

また、x86、x64、およびARM64アーキテクチャ上のシステムに影響を与えます。

2.2 影響を受ける設定

この脆弱性は、Windows Defender SmartScreenが関連するチェックとプロンプトを欠いていることに起因します。悪意のあるインターネットショートカット（.URL）ファイルが、SmartScreenの警告なしに処理されてしまう点が問題となります。

3. 影響を受けた時の兆候

CVE-2023-36025の直接的な兆候は、ユーザーが通常受けるはずのSmartScreen警告なしに、疑わしいファイルがダウンロード・実行されることです。攻撃が成功すると、以下のような兆候が現れる可能性があります。

情報窃取型マルウェアの活動: Phemedrone Stealerなどのマルウェアが、Webブラウザ、暗号資産ウォレット、メッセージングアプリのデータを窃取したり、スクリーンショットを撮影したりする活動。
不正なファイルのディスクへの書き込み: UNCパスを含む.URLファイルがディスクに書き込まれる。
予期しない外部通信: 感染したマシンが攻撃者のリモート共有にアクセスしてペイロードをダウンロードする、または窃取したデータをコマンド＆コントロール（C2）サーバーに送信するための外部通信を行う。

4. 推奨対策

4.1 本対策

Microsoftからのセキュリティ更新プログラムの適用: Microsoftは、2023年11月の月例セキュリティ更新プログラム（Patch Tuesday）で本脆弱性に対するパッチをリリースしています。すべてのWindowsエンドポイントおよびサーバーに、速やかに適切なセキュリティ更新プログラムを適用することが強く推奨されます。 CISAは、連邦機関に対して2023年12月5日までにこの脆弱性への対策を義務付けており、民間組織も同様に緊急対応としてパッチ適用を優先すべきです。

4.2 暫定回避策（緩和策）

本対策が適用されるまでの間、または多層防御の一環として、以下の緩和策が有効です。

SmartScreen機能の検証チェックの復元: Microsoftの2023年11月のセキュリティアップデートにより、SmartScreenの正しい検証チェックが復元されます。
送信SMBのブロック: 境界ファイアウォールでTCPポート445からの送信トラフィックをブロックすることで、侵害されたマシンが攻撃者のリモート共有に到達してペイロードをダウンロードするのを防ぎます。
メールフィルタリング: .URLファイルを含む添付ファイルをブロックまたは隔離するようにメールゲートウェイを設定します。これは、これらのファイルが電子メールで正当なビジネス目的で使用されることは稀であるためです。
ユーザー教育: 予期しない電子メールやダウンロードからのインターネットショートカットファイルを開くリスクについて、ユーザーを教育することが重要です。従業員一人ひとりが不審なURLをクリックしないなどの危機意識を持つことが、最も重要な要素となります。
IoCのレビュー: 迅速にパッチが適用されていないシステムでは、侵害の兆候（Indicators of Compromise）がないかシステムをレビューします。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る