Trusted Design

CVE-2025-26633 の詳細

CVEの情報

説明:
Improper neutralization in Microsoft Management Console allows an unauthorized attacker to bypass a security feature locally.

CVE更新日: 2025-03-11 17:16:43.390000

CVSSバージョン: 3.1

CVSSスコア: 7.0

KEVの情報

KEV更新日: 2025-03-11

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.303910000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2025-26633は、Microsoft Management Console (MMC) のセキュリティ機能バイパスの脆弱性です。以下に詳細を解説します。

1. 脆弱性の概要

CVE-2025-26633は、Microsoft Management Console (MMC) における不適切な無害化の脆弱性であり、許可されていない攻撃者がローカルでセキュリティ機能をバイパスすることを可能にします。この脆弱性は「MSC EvilTwin」と名付けられた手法で悪用されており、mmc.exeがマルウェアをロードするように仕向けるために、Multilingual User Interface Path (MUIPath) 機能が悪用されます。

1.1 影響

この脆弱性が悪用されると、攻撃者は悪意のあるコードを実行し、システムからデータを窃取し、バックドアをインストールし、資格情報を盗み、ネットワーク内で横展開を行う可能性があります。最終的には、ランサムウェアの展開につながる可能性もあります。企業はデータ侵害や多大な経済的損失により大きな影響を受ける可能性があります。

1.2 深刻度

この脆弱性の深刻度は「高 (High)」と評価されており、CVSS v3スコアは7.0です。CISA (米国サイバーセキュリティ・社会基盤安全保障庁) の既知の悪用されている脆弱性 (KEV) カタログに追加されており、実環境での悪用が確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

CVE-2025-26633は、以下のMicrosoft Windowsの複数のバージョンに影響を与えます。

  • Windows 10 (バージョン 1507, 1607, 1809, 21H2, 22H2)
  • Windows 11 (バージョン 22H2)
  • Windows Server 2008 R2, 2012, 2012 R2, 2016 (バージョン 1607), 2019 (バージョン 1809), 2022 (バージョン 21H2, 22H2, 23H2), 2025 (バージョン 24H2)
  • Windows 7

2.2 影響を受ける設定

Microsoft Management Console (MMC) の不適切な無害化に起因し、セキュリティ機能がバイパスされます。この脆弱性は、悪意のある.mscファイルがMicrosoft Console (.msc) ファイルを開くときに表示されるセキュリティ警告の1つをバイパスすることを可能にします。攻撃者は、正規の.mscファイルと同じ名前の悪意のある.mscファイルをen-USなどのローカライズされたディレクトリに配置し、mmc.exeが正規ファイルではなく悪意のあるファイルをロードするように操作します。

3. 影響を受けた時の兆候

システムがCVE-2025-26633によって影響を受けた場合、以下の兆候が見られる可能性があります。

  • 不審なコンソールアクセスログ
  • 不審なコマンド実行
  • セキュリティ設定への不正な変更
  • マルウェアのインストール、またはバックドアの設置
  • 資格情報の窃盗
  • コマンド＆コントロール (C&C) サーバーへの不審な外部接続やデータ送出

4. 推奨対策

4.1 本対策

  • Microsoftからの最新のセキュリティパッチを適用する: Microsoftは2025年3月11日にこの脆弱性に対処するパッチをリリースしています。このパッチは、インターネットからロードされたMicrosoft Console (.msc) ファイルを開くときに表示されるセキュリティ警告の1つを、悪意のあるスクリプトがバイパスするのを防ぐことで問題を修正します。

4.2 暫定回避策（緩和策）

  • ローカルアクセスを信頼できるユーザーのみに制限する: 不正なローカルアクセスを制限することで、脆弱性悪用のリスクを軽減できます。
  • コンソールアクセスログを監視および監査する: 不審なアクティビティを早期に検知するために、コンソールへのアクセスログを継続的に監視し、監査します。
  • MMCスナップインの制限を強制する: システムポリシーを設定して、許可されるMMCスナップインを制限し、攻撃対象領域を縮小します。
  • ユーザーアカウント制御 (UAC) を有効にする: UACを検証して有効にすることで、不正な特権昇格の可能性を低減します。
  • 非管理者ユーザーに対する.mscファイルの実行を制限またはブロックする: 管理者以外のユーザーが.mscファイルを実行できないように制限し、管理者が使用する場合はその利用を検証します。
  • 新しい.mscファイル、不審なスケジュールタスクやレジストリ変更、既知の攻撃者インフラストラクチャへの外部接続を継続的に監視する: 異常な活動を検知するための監視体制を強化します。

その他に解説すべき観点

攻撃者

この脆弱性は、ロシアの脅威アクターである「Water Gamayun」（EncryptHubまたはLarva-208としても知られる）によってゼロデイ攻撃として悪用されたことが確認されています。彼らは複数の配信方法とカスタムペイロードを使用して、永続性を維持し、機密データを窃取してC&Cサーバーに送出するキャンペーンを実施しました。

攻撃手法

攻撃は「MSC EvilTwin」と呼ばれる手法を利用しています。これは、正規の.mscファイルを介して悪意のある.mscファイルを実行するものです。具体的には、トロイの木馬ローダーによってシステム上に同じ名前の2つの.mscファイルが作成されます。1つは正規で疑わしい要素がないもの、もう1つは同じ場所に「en-US」というディレクトリ内に配置された悪意のあるバージョンです。正規の.mscファイルが実行されると、mmc.exeは正規のファイルではなく、悪意のあるファイルをロードして実行します。これはmmc.exeのMultilingual User Interface Path (MUIPath) 機能を悪用したものです。攻撃者はフィッシングメールを通じて、この細工された.mscファイルやインストーラーファイルを配信します。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る