CVE詳細 - CVE-2024-21338-

CVE-2024-21338 の詳細

CVEの情報

説明:
Windows Kernel Elevation of Privilege Vulnerability

CVE更新日: 2024-02-13 18:15:49.083000

CVSSバージョン: 3.1

CVSSスコア: 7.8

KEVの情報

KEV更新日: 2024-03-04

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.598100000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2024-21338は、Windowsカーネルの特権昇格の脆弱性であり、攻撃者がローカルでSYSTEMレベルの権限を取得することを可能にします。

1. 脆弱性の概要

CVE-2024-21338は、Windowsカーネルドライバーであるappid.sys（Windows AppLockerの一部）に存在する重大な特権昇格の脆弱性です。この脆弱性を悪用することで、低い権限を持つユーザーがSYSTEMレベルの特権でコードを実行できるようになります。

1.1 影響

この脆弱性が悪用されると、攻撃者は侵害されたシステムを完全に制御できるようになります。これにより、セキュリティソフトウェア（EDRやアンチウイルスなど）の無効化、FudModuleのようなルートキットのインストール、機密データの窃盗、ランサムウェアの展開、カーネルオブジェクトの改ざん、およびシステム全体の完全な侵害が可能になります。企業にとっては、重大な業務停止、金銭的損失、評判の損害につながる可能性があります。ユーザーアクセス制御やセキュリティメカニズムがバイパスされます。

1.2 深刻度

この脆弱性は深刻度「高」に分類されており、CVSS 3.1スコアは7.8です。 2024年2月のMicrosoftの月例セキュリティ更新プログラムで開示されましたが、すでに北朝鮮のLazarusグループによってゼロデイ攻撃として悪用されていたことが確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性の影響を受けるのは、以下のWindows OSバージョンです。 * Windows 10: バージョン 1809, 21H2, 22H2 (32ビット、x64ベース、ARM64ベースのシステムを含む) * Windows 11: バージョン 21H2, 22H2, 23H2 (x64ベース、ARM64ベースのシステムを含む) * Windows Server: 2019, 2022, および 2022 23H2 Edition (Server Coreインストールを含む)

2.2 影響を受ける設定

脆弱性は、Windows AppLockerの一部であるappid.sysカーネルドライバーに存在します。この脆弱性は、ドライバーがユーザーから提供された入力を適切に検証しないことに起因します。攻撃者は、特別に細工された入力/出力制御（IOCTL）リクエストをドライバーに送信することで、これを悪用できます。 appid.sysドライバーは自動的にロードされるものではなく、特定のAppLocker関連ETWプロバイダーにイベントを送信する必要があります。

3. 影響を受けた時の兆候

CVE-2024-21338の悪用による兆候は微妙な場合があります。以下の活動を監視することが推奨されます。 * ユーザーレベルのアカウントからSYSTEM権限で実行される不審なプロセス。 * 脆弱なappid.sysドライバーとの対話の試行。 * セキュリティエージェントプロセスの突然の終了。 * FudModuleなどのカーネルルートキット活動の兆候。 * VBS（仮想化ベースのセキュリティ）サブシステム関連ファイルやシステムファイルの変更または置換。 * 特権昇格を伴う更新ファイルの変更または置換イベント。

4. 推奨対策

4.1 本対策

Microsoftが2024年2月13日（月例パッチ火曜日）にリリースしたセキュリティ更新プログラムを適用してください。
各Windowsビルドの特定のKB番号については、MicrosoftのCVE-2024-21338アドバイザリを参照してください。
パッチのインストールは、wmic qfe listコマンドまたは更新履歴UIを通じて確認できます。
インターネットに公開されたサーバー、ジャンプホスト、およびローカル管理者アクセスが広範囲に利用可能な開発者ワークステーションでのパッチ適用を優先してください。

4.2 暫定回避策（緩和策）

システム復元または更新操作を許可されたユーザーを監査し、その数を最小限に抑えてください。可能であれば、これらの権限を取り消してください。
更新ファイルへのアクセスと変更を制限するために、アクセス制御リスト（ACL/DACL）を追加してください。
特権昇格を伴う更新ファイルの変更または置換イベントを監視してください。これらは悪用の兆候である可能性があります。
VBS（仮想化ベースのセキュリティ）サブシステム関連ファイルやシステムファイルの変更または置換を監視してください。
SIEMやEDRシステムを使用してこれらのイベントを監視することも可能ですが、誤検知が発生する可能性があり、正規の活動と攻撃を区別するためにセキュリティチームの判断が必要となります。

5. 他に解説すべき観点

発見日: 2024年2月13日のMicrosoftの月例パッチ火曜日に開示されました。
積極的な悪用: 2023年8月以降、Lazarusグループ（APTグループ）によってゼロデイ攻撃として活発に悪用されていたことが報告されています。
悪用方法: 攻撃者は、初期アクセス（フィッシングなど）を獲得した後、特権昇格のためにこの脆弱性を悪用します。彼らはこの脆弱性を狙ったローカルエクスプロイトを実行します。脆弱性は、appid.sysカーネルドライバー（Windows AppLockerの一部）に存在し、ドライバーがユーザーから提供された入力を適切に検証しないことに起因します。攻撃者は、特別に細工された入力/出力制御（IOCTL）リクエストをドライバーに送信することで、カーネルメモリの任意の読み取り/書き込みを可能にし、カーネルコンテキストで攻撃者が選択したルーチンを呼び出すことができます。これにより、管理権限からカーネルへの境界がバイパスされます。
CWE分類: CWE-822: Untrusted Pointer Dereferenceに分類されています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る