Trusted Design

CVE-2024-26169 の詳細

CVEの情報

説明:
Windows Error Reporting Service Elevation of Privilege Vulnerability

CVE更新日: 2024-03-12 17:15:56.173000

CVSSバージョン: 3.1

CVSSスコア: 7.8

KEVの情報

KEV更新日: 2024-06-13

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.039810000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2024-26169について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2024-26169は、Windows Error Reporting Serviceに存在する特権昇格の脆弱性です。この脆弱性を悪用することで、ローカルの攻撃者が通常のユーザー権限からSYSTEMレベルの管理者権限に昇格することが可能になります。

1.1 影響

この脆弱性が悪用されると、攻撃者はシステム上で任意のコードをSYSTEM権限で実行できるようになります。これにより、ランサムウェアの展開やエンドポイント保護ツールの無効化など、深刻な被害が発生する可能性があります。 影響を受ける対象として、重要インフラ、医療、金融サービスなどの複数のセクターが挙げられています。

1.2 深刻度

CVSS v3.1の基本スコアは7.8（High）と評価されています。 機密性、完全性、可用性への影響はすべて「高」とされています。 この脆弱性は、Black Bastaランサムウェアグループによってゼロデイ脆弱性として悪用されたことが確認されており 、Playランサムウェアグループも迅速に悪用しています。 また、CISAのKnown Exploited Vulnerabilitiesカタログにも追加されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は、Windows Error Reporting (WER) Serviceに影響を与えます。 影響を受ける主なOSバージョンは以下の通りです。

  • Microsoft Windows 10：
    • Version 1507, 1607, 1809, 21H2, 22H2 (32-bit Systems, x64-based Systems, ARM64-based Systems)
  • Microsoft Windows 11：
    • Version 21H2, 22H2, 23H2 (x64-based Systems, ARM64-based Systems)
  • Microsoft Windows Server：
    • 2012 R2, 2016, 2019, 2022, 23H2 Edition (Server Coreインストールを含む)

2.2 影響を受ける設定

この脆弱性は、Windows Error Reporting Serviceにおける不適切な特権管理に起因します。 WERサービスが昇格された特権で実行される際に、エラー処理中のシンボリックリンクの管理方法に不備があるため、特権昇格が可能となります。 ユーザーが設定を変更することで直接回避できる特定の設定は確認されていません。

3. 影響を受けた時の兆候

  • Black BastaやPlayランサムウェアグループによる悪用が確認されています。
  • 悪用に関連する特定のエクスプロイトツールおよびバッチスクリプトのSHA256ハッシュが報告されています。
    • エクスプロイトツール SHA256: 4aae231fb5357c0647483181aeae47956ac66e42b6b134f5b90da76d8ec0ac63、b73a7e25d224778172e394426c98b86215087d815296c71a3f76f738c720c1b0
    • バッチスクリプト SHA256: a31e075bd5a2652917f91714fea4d272816c028d7734b36c84899cd583181b3d、3b3bd81232f517ba6d65c7838c205b301b0f27572fcfef9e5b86dd30a1d55a0d
  • システムレベルでの任意のコード実行や、エンドポイントセキュリティ対策の無効化などが発生する可能性があります。

4. 推奨対策

4.1 本対策

Microsoftが提供するセキュリティ更新プログラムを速やかに適用してください。 これは通常、Windows Updateを通じて適用可能です。

4.2 暫定回避策（緩和策）

  • 可能な限り、ローカルユーザーアカウントの権限を制限する「最小権限の原則」を適用してください。
  • システムの堅牢な監視体制を維持することも重要です。

その他解説すべき観点

  • CVE公開日: 2024年3月12日に詳細が公開されました。
  • 悪用状況: パッチ公開前にBlack Bastaランサムウェアグループによってゼロデイ脆弱性として積極的に悪用されていたことが報告されています。 Playランサムウェアグループも、公開後数週間以内にこの脆弱性を悪用し始めたことが確認されています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る