Trusted Design

CVE-2025-21391 の詳細

CVEの情報

説明:
Windows Storage Elevation of Privilege Vulnerability

CVE更新日: 2025-02-11 18:15:37.723000

CVSSバージョン: 3.1

CVSSスコア: 7.1

KEVの情報

KEV更新日: 2025-02-11

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.023030000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2025-21391に関する解説

CVE-2025-21391は、Microsoft Windows Storageコンポーネントにおける権限昇格の脆弱性です。この脆弱性は、CWE-59「不適切なリンク解決後のファイルアクセス（'リンクのたどり'）」に分類されており、ファイルアクセス前にシンボリックリンクが不適切に処理されることに起因します。攻撃者は、細工されたシンボリックリンクを作成することで、通常は保護されているはずのファイルを削除し、システムの不安定化やサービス停止、さらには権限昇格につながる可能性があります。この脆弱性は、公開時点で既に悪用が確認されています。

1. 脆弱性の概要

1.1 影響

この脆弱性が悪用されると、攻撃者はターゲットシステム上の任意のファイルを削除できる可能性があります。これにより、システム運用が妨害されたり、アプリケーションやオペレーティングシステムの整合性が損なわれたり、場合によってはシステムが部分的にまたは完全に利用できなくなる可能性があります。 脆弱性自体は直接的なリモートコード実行 (RCE) や単独での権限昇格をもたらすものではありませんが、他の脆弱性と組み合わせてより高度なアクセスを獲得するために利用されることがあります。

1.2 深刻度

  • CVSS v3.1スコア: 7.1 (High)
  • CVSS v4スコア: 6.8 (Medium)
  • 深刻度: High (高) / 権限昇格
  • CISA KEV (Known Exploited Vulnerabilities) への追加: 2025年2月11日 (この脆弱性が実際に悪用されていることを示します)

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は、デスクトップ版およびサーバー版を含む複数のバージョンのWindowsに影響を与えます。最新のパッチが適用されていない古いバージョンのWindowsは特に危険にさらされています。

具体的に影響を受けるバージョンは以下の通りです。

  • Windows 10 (バージョン 1507, 1607, 1809, 21H2, 22H2)
  • Windows 11 (バージョン 22H2, 23H2, 24H2)
  • Windows Server 2016, 2019, 2022, 2025

2.2 影響を受ける設定

この脆弱性は、Windows Storageコンポーネントにおけるシンボリックリンクの不適切な処理に起因します。特定の「影響を受ける設定」というよりは、影響を受けるWindows OSが対象となります。攻撃には、ローカルアクセスと有効な認証情報が必要です。

3. 影響を受けた時の兆候

組織は、異常なシステム動作を監視し、以下の侵害の兆候 (IoCs) を探すべきです。

  • 保護されたディレクトリ内のシステムファイルやアプリケーションファイルの予期せぬ削除
  • 重要なファイル、ログ、構成データが不足していることによるサービス障害や中断
  • シンボリックリンクやファイルシステムジャンクションを含む、異常なファイルシステム活動
  • 不正なユーザーまたは非管理者ユーザーによるファイル削除に関する異常なイベントログ
  • システムレジストリキーへの不正な変更
  • 予期せぬユーザーの権限昇格
  • 許可されていないシステム設定の変更

4. 推奨対策

4.1 本対策

管理者、組織、および個人ユーザーは、Microsoftが提供する最新のセキュリティ更新プログラムをできるだけ早く適用することが不可欠です。このパッチは、シンボリックリンクの不適切な処理に対処し、不正なファイル削除を防止します。 関連する更新プログラムは、Microsoftのセキュリティ更新プログラムガイドで確認できます。

4.2 暫定回避策（緩和策）

パッチの適用がすぐにできない場合、以下の緩和策を検討してください。

  • ローカルユーザー権限の制限: 非管理者ユーザーがシンボリックリンクを作成または操作する能力を制限します。
  • ファイルシステム監査の有効化: Windowsで不正なファイル削除をログに記録し、警告するように設定します。
  • Windows Storageサービスの無効化: 一時的な回避策として、Windows Storageサービス (storSvc) を無効にすることができます。これにより脆弱性の悪用のリスクは軽減されますが、システムの完全な機能が失われる可能性があります。パッチ適用後はサービスを再有効化する必要があります。
  • ローカルアクセスを信頼できるユーザーのみに制限する: 信頼されていないローカルユーザーへの露出を減らします。
  • EDR (Endpoint Detection and Response) による監視: 疑わしい特権ファイル操作をEDRで監視し、保護されたシステムファイルの予期せぬ削除に対してアラートを設定します。

他に解説すべき観点

  • CWE (Common Weakness Enumeration): CWE-59「Improper Link Resolution Before File Access ('Link Following')」に分類されます。これは、製品がファイル名に基づいてファイルにアクセスしようとするが、そのファイル名が意図しないリソースを指すリンクやショートカットを識別することを適切に防がないために発生する脆弱性です。
  • 攻撃ベクトル: 攻撃者は、ローカルアクセスと有効な認証情報を持っている場合、悪意のあるシンボリックリンクを作成して、重要なシステムファイルを標的にすることでこの脆弱性を悪用できます。
  • CISAの連邦政府機関への期限: CISAの拘束力のある運用指令22-01に基づき、米国の連邦政府機関は2025年3月4日までにこの脆弱性を修正することが義務付けられていました。この期限は民間組織を拘束するものではありませんが、CISAが高いリスクと評価するものに対してより短い期間を設定しているため、有用な外部シグナルとなります。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る