Trusted Design

CVE-2025-24991 の詳細

CVEの情報

説明:
Out-of-bounds read in Windows NTFS allows an authorized attacker to disclose information locally.

CVE更新日: 2025-03-11 17:16:35.297000

CVSSバージョン: 3.1

CVSSスコア: 5.5

KEVの情報

KEV更新日: 2025-03-11

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.020180000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2025-24991は、Microsoft Windows NTFSにおける情報漏えいの脆弱性です。

1. 脆弱性の概要

1.1 影響

本脆弱性を悪用されると、攻撃者はユーザーの資格情報、暗号化キー、その他の機密性の高いヒープメモリの内容を含む、重要なシステム情報を抽出する可能性があります。これにより、重大な情報漏えいにつながり、さらなるシステム侵害の可能性が生じます。可用性への影響は限定的であり、主に機密性またはプロセスデータの完全性に関するリスクです。

1.2 深刻度

この脆弱性は「重要」に分類されています。共通脆弱性評価システム（CVSS）の基本スコアは5.5です。また、本脆弱性は実際に悪用されていることが確認されており、CISAの既知の悪用されている脆弱性（KEV）リストに追加されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

  • Windows 10 (バージョン1507から22H2まで)
  • Windows 11 (バージョン22H2、23H2、24H2)
  • Windows Server 2008, Server 2008 R2, Server 2012, Server 2012 R2, Server 2016, Server 2019, Server 2022, Server 2025

2.2 影響を受ける設定

この脆弱性はMicrosoft Windows New Technology File System (NTFS) に存在します。悪用には、悪意を持って細工された仮想ハードディスク (VHD) ファイルのマウントなどのユーザー操作が必要です。ローカルまたは隣接するデバイスへのアクセスが必要であり、有効な資格情報は不要です。

3. 影響を受けた時の兆候

本脆弱性は実際に悪用されていることが確認されていますが、具体的なシステム動作における兆候は情報源に明記されていません。不明。

4. 推奨対策

4.1 本対策

最新のセキュリティ更新プログラムを直ちに適用してください。この脆弱性に対するパッチは、2025年3月11日に複数のWindowsバージョン向けに提供されています。

4.2 暫定回避策（緩和策）

  • 信頼できないソースからのVHDファイルをマウントする際は注意してください。
  • 厳格なファイル処理ポリシーを導入してください。
  • 最新のアンチウイルスおよびエンドポイント保護を使用してください。
  • ユーザーの権限を制限し、最小特権の原則を実装してください。
  • 不審なファイルマウント活動を監視してください。
  • 影響を受けるデバイスへのネットワークアクセスを専用のOT管理セグメントに制限してください。
  • ゾーンとコンジット（IEC 62443-3-2）に沿ったネットワークセグメンテーションを実装してください。
  • OT対応の検出システムを使用して、異常なプロトコル通信を監視してください。

参照したサイト

  • 【2025年総括】Microsoft脆弱性3500件の衝撃。企業のIT部門が直面する「パッチ適用のジレンマ」 - ＠IT
  • CVE-2025-24991 — exploited in the wild (CISA KEV): remediation & advisories | VulnTrek
  • CVE-2025-24991 — Microsoft Windows NTFS Out-Of-Bounds Read Vulnerability — IACS Radar
  • Windowsの脆弱性（2025年3月公開）に関するお知らせ - FMWORLD（法人）:富士通
  • CVE-2025-24991 - Exploits & Severity - Feedly
  • Microsoft Windows NTFS Out-Of-Bounds Read Vulnerability - Griffin Technology Partners
  • Microsoftが最新アップデートで57件のセキュリティ脆弱性を修正 | ライフハッカー・ジャパン
  • 2025年3月の「Windows Update」が公開 ～ゼロデイ脆弱性、致命的な脆弱性多数 - 窓の杜
  • 2025 年 3 月のセキュリティ更新プログラム (月例) - Microsoft
  • 2025年10月 セキュリティアップデート解説：Microsoft社は197件、Adobe社は36件の脆弱性に対応 - Trend Micro
  • Microsoft 製品の脆弱性対策について(2025年3月) | 情報セキュリティ - IPA
  • CVE-2025-24991 — Patch first | CVE Explorer | Peter Bassill
  • 【注意喚起】至急更新プログラムを適用しましょう！Microsoft 製品の脆弱性（2025年3月）
  • Windows向けクライアント用プログラムで報告されている脆弱性への対応について（CVE-2025
  • 2025年10月マイクロソフトセキュリティ更新プログラムに関する注意喚起 - JPCERT
  • 更新：Microsoft 製品の脆弱性対策について(2025年10月) | 情報セキュリティ - IPA
  • 2025年8月セキュリティパッチに新たな問題、Windows 10/11のリセット・回復が失敗する - 窓の杜
  • Windowsの脆弱性（2025年8月公開）に関するお知らせ -FMWORLD（法人）:富士通
  • Microsoft月例パッチ973件 悪用中2件は新旧で分断 - 情報セキュリティーあれこれ
  • 2025年7月 セキュリティアップデート解説：Microsoft社は140件、Adobe社は60件の脆弱性に対応
  • 涉及51个重要漏洞！微软发布2025年3月补丁日安全通告 - 亚信安全

NVDサイト

NVDでCVEの詳細を見る

戻る