CVE詳細 - CVE-2025-24990-

CVE-2025-24990 の詳細

CVEの情報

説明:
Microsoft is aware of vulnerabilities in the third party Agere Modem driver that ships natively with supported Windows operating systems. This is an announcement of the upcoming removal of ltmdm64.sys driver. The driver has been removed in the October cumulative update. Fax modem hardware dependent on this specific driver will no longer work on Windows. Microsoft recommends removing any existing dependencies on this hardware.

CVE更新日: 2025-10-14 17:15:39.193000

CVSSバージョン: 3.1

CVSSスコア: 7.8

KEVの情報

KEV更新日: 2025-10-14

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.063690000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2025-24990に関する調査結果を以下にまとめます。

1. 脆弱性の概要

CVE-2025-24990は、Microsoft WindowsのAgereモデムドライバー（ltmdm64.sys）における信頼されていないポインタの参照外し（Untrusted Pointer Dereference）の脆弱性です。攻撃者は、信頼できないソースから受け取ったポインタの不適切な検証を悪用することで、特権の昇格や任意のコード実行を引き起こす可能性があります。この脆弱性は、2025年に実際に悪用が確認されたゼロデイ脆弱性として、CISAの既知の悪用されている脆弱性（KEV）カタログに追加されています。

1.1 影響

攻撃に成功すると、ローカルの低特権ユーザーがSYSTEM権限などの管理者権限を獲得し、システムを完全に制御できるようになります。この種の脆弱性は、しばしば他のコード実行の脆弱性と組み合わされて、資格情報のダンプ、ラテラルムーブメント、ランサムウェアの展開など、より広範な攻撃チェーンの一部として利用されます。

1.2 深刻度

CVSSv3.1スコア: 7.8 (High)
Microsoftによる深刻度評価: Important（重要）
悪用状況: 実際に悪用が確認されており、CISA KEVカタログに登録されています。

2. 対象となる環境

この脆弱性は、信頼できない入力を処理するWindowsの中核コンポーネント（カーネルまたはシステムサービス）に存在します。根本原因は、ユーザーモードまたはその他の信頼できないコンテキストから高特権コンポーネント（例：カーネル）に渡されたポインタの検証が不適切なことです。

2.1 影響を受けるOSバージョン

Windows 10
Windows 11
Windows Server (2016–2025ビルド)
- 特に、Windows 10 1507のAgereモデムドライバーに影響を与えるとの情報がありますが、問題のドライバーはサポート対象のすべてのWindowsバージョンに標準で含まれるため、広範なWindowsバージョンが影響を受ける可能性があります。

2.2 影響を受ける設定

Agereモデムドライバー（ltmdm64.sys）がインストールされているシステムが影響を受けます。このドライバーは旧式のコンポーネントであり、関連するFaxモデムハードウェアがインストールされているかどうかにかかわらず、多くのWindowsシステムに存在します。

3. 影響を受けた時の兆候

脆弱なWindowsコンポーネントを標的とした特定のエクスプロイトパターン（エクスプロイトキットでよく観測されるもの）。
ポストエクスプロイトの痕跡：LSASSダンプ、新しい特権アカウントの作成、異常なドライバーの読み込み。
2025年のキャンペーンに関連する既知のエクスプロイトツールまたはペイロードのハッシュの検出。
システム上で予期せぬSYSTEM権限でのコード実行の兆候。

4. 推奨対策

4.1 本対策

Microsoftセキュリティ更新プログラムの適用: Microsoftが2025年10月にリリースした月例セキュリティ更新プログラムを速やかに適用してください。この更新プログラムには、脆弱なltmdm64.sysドライバーの削除が含まれています。
Agereモデムドライバーの削除: Agereモデムドライバーはレガシーコンポーネントであり、Microsoftはパッチを適用する代わりに、脆弱なドライバーを完全に削除する対策を講じています。
Faxモデムハードウェアの依存関係の解消: このドライバーに依存するFaxモデムハードウェアは、ドライバー削除後は動作しなくなります。Microsoftは、このハードウェアへの既存の依存関係を解消することを推奨しています。

4.2 暫定回避策（緩和策）

脆弱なドライバーファイルの名前変更: 公式のセキュリティ更新プログラムを直ちに適用できない場合、一時的な緩和策として、脆弱なltmdm64.sysドライバーファイルを特定し、システム起動時にロードされないように名前を変更することが考えられます。この操作には管理権限が必要です。これは一時的な措置であり、完全な保護のためには公式パッチの適用が不可欠です。

他に解説すべき観点

古いコードのリスク: この脆弱性は、1990年代後半から2000年代前半のハードウェアを対象としたAgereモデムドライバーという古いコードに存在しており、現在のセキュリティ基準では安全とは言えないと指摘されています。このことは、レガシーコンポーネントが新たなセキュリティリスク源となる可能性を示唆しています。
攻撃チェーンでの利用: 攻撃者は、フィッシング攻撃などで低い特権レベルで初期アクセスを確立した後、CVE-2025-24990を悪用して特権を昇格させ、システムを完全に制御するという多段階の攻撃に利用しています。
CISA KEVカタログと連邦政府機関への義務付け: CISA KEVカタログに登録されたことで、米国連邦政府機関は2025年11月4日までにこの脆弱性に対するパッチを適用することが義務付けられました。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る