Trusted Design

CVE-2025-29824 の詳細

CVEの情報

説明:
Use after free in Windows Common Log File System Driver allows an authorized attacker to elevate privileges locally.

CVE更新日: 2025-04-08 18:16:08.340000

CVSSバージョン: 3.1

CVSSスコア: 7.8

KEVの情報

KEV更新日: 2025-04-08

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.139040000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2025-29824は、Microsoft Windowsの共通ログファイルシステム（CLFS）ドライバーに存在する、実際に悪用が確認されたゼロデイの権限昇格の脆弱性です。

1. 脆弱性の概要

1.1 影響

この脆弱性を悪用されると、攻撃者は既に侵害されたWindowsシステム上で、権限をSYSTEMレベルに昇格させることが可能になります。これにより、攻撃者はLSASSメモリダンプを実行して資格情報を窃取したり、PipeMagicマルウェアを介してランサムウェア（例: RansomEXX）を展開したりする可能性があります。実際に、Storm-2460と呼ばれる攻撃グループがこの脆弱性を利用し、ランサムウェア攻撃を行っていました。

1.2 深刻度

CVSS 3.1スコアは7.8で、深刻度は「高（HIGH）」に分類されます。この脆弱性はゼロデイ攻撃として実際に悪用されていることが確認されており、Microsoftは2025年4月8日に緊急のセキュリティ更新プログラムをリリースしました。

2. 対象となる環境

2.1 影響を受けるOSバージョン

Windows共通ログファイルシステム（CLFS）ドライバーに存在するこの脆弱性は、以下のWindowsバージョンに影響を与えます。

  • Windows 11:
    • バージョン 22H2: 10.0.22621.0 から 10.0.22621.5191 より前のバージョン
    • バージョン 22H3: 10.0.22631.0 から 10.0.22621.5191 より前のバージョン
    • バージョン 23H2: 10.0.22631.0 から 10.0.22631.5191 より前のバージョン
    • バージョン 24H2: 10.0.26100.0 から 10.0.26100.3775 より前のバージョン。ただし、観察されたエクスプロイト活動では影響を受けていないとされています。
  • Windows 10:
    • バージョン 1507: 10.0.10240.0 から 10.0.10240.20978 より前のバージョン
    • バージョン 1607: 10.0.14393.0 から 10.0.14393.7970 より前のバージョン
    • バージョン 1809: 10.0.17763.0 から 10.0.17763.7137 より前のバージョン
    • バージョン 21H2: 10.0.19044.0 から 10.0.19044.5737 より前のバージョン
    • バージョン 22H2: 10.0.19045.0 から 10.0.19045.5737 より前のバージョン
  • Windows Server:
    • Windows Server 2008 R2
    • Windows Server 2012 / 2012 R2
    • Windows Server 2016
    • Windows Server 2019
    • Windows Server 2022: 10.0.20348.0 から更新プログラム適用前のバージョン
    • Windows Server 2025: 10.0.26100.0 から 10.0.26100.3775 より前のバージョン

2.2 影響を受ける設定

この脆弱性はWindows共通ログファイルシステムドライバーの「Use-After-Free」の欠陥に起因するものであり、特定のユーザー設定によって影響を受けるものではありません。

3. 影響を受けた時の兆候

システムがこの脆弱性の影響を受けた場合、以下のような兆候が見られる可能性があります。

  • PipeMagicマルウェアの展開。
  • ファイルの暗号化や身代金要求メモ（例: !READ_ME_REXX2!.txt）の出現といったランサムウェア攻撃の兆候。
  • procdump.exeユーティリティを用いたLSASSメモリダンプの実行形跡。
  • C:\ProgramData\SkyPDF\PDUDrv.blfのようなCLFS BLFファイルの作成。
  • dllhost.exeプロセスからのエクスプロイト実行。

4. 推奨対策

4.1 本対策

  • セキュリティ更新プログラムの適用: Microsoftは2025年4月8日にこの脆弱性に対応するセキュリティ更新プログラムをリリースしています。Windows Updateを通じて、これらの更新プログラムを速やかに適用してください。
  • システムを最新の状態に保つ: 定期的にシステムを最新のパッチで更新し、既知の脆弱性を解消することが不可欠です。
  • Microsoftの「セキュリティ更新プログラムガイド」を参照し、詳細な情報を確認してください。

4.2 暫定回避策（緩和策）

  • パッチ適用の優先順位付け: 攻撃者が初期侵入に成功した場合でも、ランサムウェアの拡散を防ぐために、特権昇格の脆弱性に対するセキュリティ更新プログラムの適用を優先してください。
  • 厳格な特権管理: ネットワーク内の機密領域へのアクセスは、承認された担当者のみに限定するような厳格な特権管理を実装してください。
  • ネットワークの継続的な監視: 不審な活動や異常を早期に検出するために、ネットワークの継続的な監視を実施してください。
  • CISAの勧告: サイバーセキュリティインフラストラクチャセキュリティ庁 (CISA) は、この脆弱性を「悪用が確認された脆弱性カタログ (KEV)」に追加しており、ベンダーの指示に従った緩和策の適用、クラウドサービスに対するBOD 22-01ガイダンスの遵守、または緩和策が利用できない場合は製品の使用中止を推奨しています。

5. 参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る