Trusted Design

CVE-2023-36033 の詳細

CVEの情報

説明:
Windows DWM Core Library Elevation of Privilege Vulnerability

CVE更新日: 2023-11-14 18:15:32.677000

CVSSバージョン: 3.1

CVSSスコア: 7.8

KEVの情報

KEV更新日: 2023-11-14

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.109450000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2023-36033について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2023-36033は、Windows Desktop Window Manager (DWM) Core Libraryにおけるローカル特権昇格の脆弱性です。この脆弱性は、信頼されていないポインタの逆参照 (CWE-822) と、メモリバッファの境界内での操作の不適切な制限 (CWE-119) という2つのメモリ安全性に関する弱点に起因します。攻撃者は、既にシステムにローカルアクセスを持っている状態で、低い特権レベルからSYSTEMレベルの特権へと昇格させることが可能です。

1.1 影響

この脆弱性が悪用された場合、ローカルの低い特権を持つ攻撃者は、影響を受けるWindowsシステム上でSYSTEM権限に昇格することができます。

1.2 深刻度

この脆弱性の深刻度は「高」であり、CVSS v3.1基本スコアは7.8です。米国サイバーセキュリティ・インフラセキュリティ庁 (CISA) は、この脆弱性が実際に悪用されていることを確認し、既知の悪用されている脆弱性（KEV）カタログに追加しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性の影響を受けるのは、以下のWindows OSバージョンです:

  • Windows 10 (バージョン 1809, 21H2, 22H2) (x86, x64, ARM64)
  • Windows 11 (バージョン 21H2, 22H2, 23H2) (x64, ARM64)
  • Windows Server 2019
  • Windows Server 2022
  • Windows Server 2022 23H2

修正プログラムがリリースされる前のバージョンが影響を受けます。

2.2 影響を受ける設定

脆弱性はWindows Desktop Window Manager (DWM) Core Library (dwmcore.dll) に存在します。DWMはWindowsデスクトップの構成とレンダリングを管理するユーザーモードコンポーネントであり、高レベルの特権で動作します。DWMの存在自体が影響の対象となるため、特定の「設定」を有効/無効にすることで脆弱性を回避できるという情報は見当たりません。

3. 影響を受けた時の兆候

CISAはCVE-2023-36033が実際に攻撃で悪用されていることを確認しています。多くの場合、初期アクセス後のマルウェアと組み合わせて特権昇格に利用されるとのことです。攻撃の詳細として、dwmcore.dllのCKeyframeAnimation::SampleStartingValueメソッドにおける任意のオブジェクト逆参照の脆弱性が悪用され、ヒープアドレスリークやWindow Manager\DWMユーザー特権でのシェルコード実行、さらにはSYSTEM権限への昇格が行われる可能性があります。

ただし、具体的なシステム上の「目に見える兆候」についての詳細な記述は、公開されている情報からは見つかりませんでした。

4. 推奨対策

4.1 本対策

Microsoftは2023年11月14日の月例セキュリティ更新プログラム（Patch Tuesday）でこの脆弱性に対する修正プログラムをリリースしています。最も重要な対策は、対象のWindowsシステムにこの修正プログラムを速やかに適用することです。CISAは、米国の連邦政府機関に対し、2023年12月5日までにこの脆弱性に対処するよう期限を設けていました。

4.2 暫定回避策（緩和策）

この脆弱性に対する特定の暫定回避策は公開されていません。修正プログラムの適用が最も推奨される対策であり、回避策は利用できないと考えられます。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る