Trusted DesignCVE-2024-43451 の詳細
CVEの情報
説明:
NTLM Hash Disclosure Spoofing Vulnerability
CVE更新日: 2024-11-12 18:15:22.483000
CVSSバージョン: 3.1
CVSSスコア: 6.5
KEVの情報
KEV更新日: 2024-11-12
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.854340000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: False
CVE-2024-43451について、以下の観点で解説します。
1. 脆弱性の概要
CVE-2024-43451は、Microsoft WindowsにおけるNTLMハッシュ開示スプーフィングの脆弱性です。これは、巧妙に細工されたファイルとのごくわずかな相互作用を通じて、リモートの攻撃者が被害者のマシンにユーザーのNTLMv2ハッシュを開示させることを可能にします。
1.1 影響 この脆弱性が悪用されると、認証情報（NTLMv2ハッシュ）が漏洩し、攻撃者はこれをリレー攻撃に使用したり、オフラインでクラックしてユーザーになりすましたりすることが可能になります。 その結果、不正アクセス、ドメイン管理者権限への昇格、SparkRATなどのマルウェアのインストール、またはデータ侵害につながる可能性があります。
1.2 深刻度 CVSS v3基本スコアは6.5で「中」と評価されています。 しかし、最小限のユーザーインタラクションで悪用可能であること、および実際に攻撃で悪用されていることから、その実際の危険性は評価よりも高い可能性があります。 米国のCISA（サイバーセキュリティ・インフラセキュリティ庁）は、この脆弱性を「既知の悪用されている脆弱性（Known Exploited Vulnerabilities）」カタログに追加しています。
2. 対象となる環境
2.1 影響を受けるOSバージョン CVE-2024-43451は、以下のMicrosoft WindowsおよびWindows Serverのバージョンに影響を与えます。 * Microsoft Windows 10 (バージョン 1507, 1607, 1809, 21H2, 22H2) * Microsoft Windows 11 (バージョン 22H2, 23H2, 24H2) * Microsoft Windows Server 2008, 2012, 2016, 2019, 2022, 2022 23H2, および 2025. この脆弱性は、実質的に「サポートされているすべてのWindowsバージョン」に影響しますが、Windows 10/11ではより悪用されやすいとされています。
2.2 影響を受ける設定 この脆弱性は、WindowsのMSHTMLプラットフォームにおける特定のファイルタイプ（特に悪意のあるURL (.url) ファイル）の処理に存在します。
3. 影響を受けた時の兆候
以下のような兆候が影響を受けた際に確認される可能性があります。 * エンドポイントから信頼できない外部IPアドレスやドメインへのアウトバウンドSMB (TCP 445) またはWebDAV (TCP 80/443) トラフィック。 * 電子メールの添付ファイル、ダウンロード、またはリムーバブルメディアにある予期しない.urlファイルやインターネットショートカット。 * NTLM認証時に外部ホストを参照するWindowsセキュリティイベントID 4624または4625のログオン試行。 * ユーザーのファイル操作イベント直後に開始されるアウトバウンドNTLM認証ネゴシエーション。 * SparkRATマルウェアまたはその他のリモートアクセス型トロイの木馬の存在。
4. 推奨対策
4.1 本対策 * 2024年11月にリリースされたMicrosoftのセキュリティ更新プログラムを、影響を受けるすべてのWindowsクライアントおよびサーバービルドに遅滞なく適用してください。 Microsoftは2024年11月12日にパッチをリリースしています。
4.2 暫定回避策（緩和策） * ハッシュの漏洩を防ぐため、境界ファイアウォールでアウトバウンドSMB (TCP 445) および未認証のWebDAVトラフィックをブロックしてください。 この対策は、この脆弱性および将来の同様の脆弱性に対する完全な緩和策となり得ます。 * リレー攻撃のリスクを軽減するため、ドメイン参加システム全体でSMB署名と拡張認証保護 (EPA) を強制してください。 * まだ2024年11月の累積更新プログラムが適用されていないシステムを特定し、修正を優先してください。 * 不明または疑わしいURLファイルとのやり取りに関連するリスクについて、ユーザーへの注意喚起と教育を実施してください。 未承諾のURLファイルを右クリックしないよう促してください。 * 堅牢なエンドポイント保護とネットワークセグメンテーション（きめ細かなアクセス制御を備えたゼロトラストアーキテクチャ）を実装し、攻撃対象領域を縮小してください。
5. その他の解説すべき観点
参照したサイト