Trusted DesignCVE-2025-32709 の詳細
CVEの情報
説明:
Use after free in Windows Ancillary Function Driver for WinSock allows an authorized attacker to elevate privileges locally.
CVE更新日: 2025-05-13 17:16:04.020000
CVSSバージョン: 3.1
CVSSスコア: 7.8
KEVの情報
KEV更新日: 2025-05-13
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.018180000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: False
CVE-2025-32709について、以下の観点で解説します。
1. 脆弱性の概要
CVE-2025-32709は、Microsoft Windows Ancillary Function Driver for WinSock (AFD.sys) における高深刻度のUse-After-Free（解放後使用）の脆弱性です。この脆弱性は、AFDドライバー内の、ソケット閉鎖後のメモリ処理の不備に起因し、解放されたメモリブロックへのポインタが適切に無効化されないために発生します。攻撃者は、特別に細工されたIOCTLリクエストを送信することで、解放されたメモリ領域を悪用し、カーネル構造を上書きして権限を昇格させることが可能です。
1.1 影響 この脆弱性を悪用されると、低い権限を持つ認証済みローカル攻撃者が、ユーザーの操作を必要とせずにSYSTEMレベルの権限を獲得できます。これにより、システムの完全な制御、任意のコード実行、データの改ざん、セキュリティ防御の無効化、ルートキットの展開、資格情報のダンプ、またはランサムウェアの展開などが可能になります。
1.2 深刻度 * CVSS v3.1基本評価値: 7.8 (High) * CVSS v3.1ベクトル:
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H* 攻撃元区分 (AV:L): ローカル * 攻撃条件の複雑さ (AC:L): 低 * 必要な特権レベル (PR:L): 低 * ユーザーインタラクション (UI:N): 不要 * スコープ (S:U): 変更なし * 機密性への影響 (C:H): 高 * 完全性への影響 (I:H): 高 * 可用性への影響 (A:H): 高 * CISA Known Exploited Vulnerabilities (KEV) Catalog: 記載されており、積極的に悪用されていることが確認されています。2. 対象となる環境
2.1 影響を受けるOSバージョン AFD.sysドライバーを搭載している幅広いMicrosoft WindowsクライアントおよびサーバーOSバージョンが影響を受けます。 * Windows 10 (バージョン 1507, 1607, 1809, 21H2, 22H2) * Windows 11 (バージョン 22H2, 23H2, 24H2) * Windows Server 2008, 2008 R2, 2012, 2012 R2, 2016, 2019, 2022, 2025. 2025年5月のセキュリティ更新プログラム（KB5034441など）以前のAFD.sysドライバーを使用しているすべてのバージョンが脆弱です。
2.2 影響を受ける設定 AFD.sysはほぼすべてのMicrosoft Windowsに存在するコアなカーネルモードドライバーであり、特定の脆弱な設定は言及されていません。 AFD.sysドライバーが存在するシステムであれば影響を受けます。
3. 影響を受けた時の兆候
この脆弱性の悪用は、以下のような兆候として現れる可能性があります。 * 通常とは異なるカーネルモードAPI呼び出し（例：NtAllocateVirtualMemory）。 * 非対話型セッションからのcmd.exeやPowerShellなどの管理ツールを含む、予期しないプロセス作成。 * AFD.sysに関連する不審なドライバーロードイベント。 * 予期しない権限昇格や異常なソケットアクティビティ。
ただし、この脆弱性の悪用は、正規のAPIパスウェイを悪用するため、従来のシグネチャベースの検出を回避し、フォレンジックトレースをほとんど残さない可能性があります。
4. 推奨対策
4.1 本対策 * Microsoftセキュリティ更新プログラムの適用: 影響を受けるすべてのWindowsバージョンに対し、2025年5月の累積的なセキュリティ更新プログラムを直ちに適用してください。 * 具体的なKB記事については、Microsoft Security Response Centerのアドバイザリを参照してください。 * 例として、一部のバージョンではKB5034441、その他のバージョンではKB5036899などが提供されています。 * 特にインターネットに接続しているサーバーや、信頼されていないユーザーがアクセスできるシステムから優先的にパッチを適用してください。
4.2 暫定回避策（緩和策） * HVCI（Hypervisor-Protected Code Integrity）の有効化: サポートされているWindowsデバイスで、カーネルレベルの悪用を防ぐためにHVCIを有効にすることを検討してください。 * 管理者権限の制限: 権限昇格エクスプロイトの影響を限定するため、ローカルおよびドメインの管理者権限を必要不可欠な担当者のみに制限してください。 * EDRソリューションによる監視: EDR（Endpoint Detection and Response）ソリューションを構成し、AFD.sysドライバーに関連する不審なアクティビティ、異常なカーネルモードAPI呼び出し、非対話型セッションからの予期しないプロセス作成、および異常なソケットアクティビティを監視してください。
他に解説すべき観点
参照したサイト