研究者が、SYSTEMアクセスを攻撃者に与える未修正のWindows脆弱性について、動作するエクスプロイトコードを公開し、Microsoftは調査中だと述べている。同社はこれまで攻撃は確認していないと報告している。それでも、公開されたWindowsゼロデイのSYSTEMアクセスエクスプロイトはタイムラインを変える。コードが自由に入手可能になれば、他の人々がそれを研究し、コピーし、適応させることが容易になるからだ。

この記事では、報告されている内容、なぜこの種の脆弱性が重要か、そして修正を待つ間に合理的にできることを扱う。

WindowsゼロデイSYSTEMアクセスエクスプロイトの動作とこれまでに分かっていること

報道は簡潔なので、確認されていることは以下の通りだ：

  • 研究者がWindowsの脆弱性に対するエクスプロイトコードを公開した。
  • この脆弱性は未修正であり、それがゼロデイである所以だ。
  • エクスプロイトが成功するとSYSTEMアクセス、つまりWindowsマシン上の最高権限レベルが得られる。
  • Microsoftはこの問題を調査中だ。
  • Microsoftはこれまでこれを悪用した攻撃を確認していない。

分かっていないことも同じくらい重要だ。情報源は、どのWindowsバージョンが影響を受けるのか、パッチの日付が設定されているかどうか、異なる構成間でコードがどの程度信頼できるかを述べていない。これらの詳細について推測はしない。Microsoftがアドバイザリを公開するまで、影響範囲に関する主張は慎重に扱うべきだ。

リモート攻撃でなくてもSYSTEMアクセスが重要な理由

SYSTEMアクセスを与える脆弱性は、一般に権限昇格のバグと呼ばれる。平たく言えば、低権限のアカウントやマルウェアなど、既にコンピュータ上に足場を持つ何かが、本来持つべき以上の制御を得られるようにする。それ自体では、見知らぬ者がインターネット経由で侵入できるようにはしない。

この区別は有用だが、油断につながるべきではない。SYSTEMレベルの制御により、攻撃者はセキュリティツールを無効化し、保護されたデータにアクセスし、設定を変更し、デバイス上に永続化するソフトウェアをインストールできる。攻撃者はしばしばバグを連鎖させる。1つで入口を得て（悪意あるダウンロードやフィッシングの添付ファイルなど）、このような権限昇格の脆弱性が鍵を渡すのだ。

したがって、ほとんどの人にとって現実的なリスクは間接的だ。このエクスプロイトが最も重要になるのは、デバイス上で既に何か別の問題が起きている場合、他人とコンピュータを共有している場合、仕事用マシンを使っている場合、または完全には信頼していないソースのソフトウェアを実行している場合だ。

公開されたWindowsゼロデイ公開のパターンとの関連

これは孤立した出来事ではない。研究者はMicrosoftが修正を出荷する前にWindowsの脆弱性に対するエクスプロイトコードを繰り返し公開しており、我々はこれらの事例のいくつかを取り上げてきた。MiniPlasmaゼロデイもまた、SYSTEMアクセスを与えるWindows権限昇格問題の公開された概念実証を含んでいた。別の事例では、エクスプロイト公開の実績が十分に記録されている研究者が関与しており、Nightmare Eclipseが別のWindowsゼロデイを公開した際の我々の報道で取り上げた通りだ。

共通の糸は、開示と修正の間のギャップだ。公開コードは、元の研究者が害を意図していなくても、他の人がそれを基に構築するために必要な労力を減らす。だからこそ、攻撃を確認していないというMicrosoftの声明は心強いが一時的なものだ。それは現在を述べているのであり、保証ではない。

これがあなたにとって意味すること

ほとんどの家庭ユーザーにとって、慌てる必要はない。この種の脆弱性は、攻撃者が既にあなたのマシン上でコードを実行していることを必要とする。最善の保護は、その最初の一歩を難しくし、それが起きた場合の被害を限定することだ。

家族、中小企業、またはチームのためにコンピュータを管理している場合、優先度は少し高い。共有マシンや広範な権限を持つアカウントは、権限昇格のバグに多くの材料を与える。Microsoftのアドバイザリに注意し、更新や緩和策のガイダンスが現れたら速やかに適用してほしい。

Microsoftがパッチを当てるまでリスクを減らす方法

まだ存在しない修正をインストールすることはできないが、露出を減らすことはできる：

  1. Windows Updateをオンにしておく。 Microsoftがパッチをリリースしたら、すぐに入手したい。アンチウイルスやその他のソフトウェアも最新の状態に保とう。
  2. 管理者アカウントを制限する。 日常業務には標準アカウントを使い、管理者アクセスは必要なタスクのために取っておく。これにより、マルウェアが最初にできることが減る。
  3. 信頼できないファイルを避ける。 メールの添付ファイル、クラックされたソフトウェア、不慣れなダウンロード、未知の送信者からのリンクには注意しよう。これらは最初の足場を得る一般的な方法だからだ。
  4. 公式のガイダンスに注意する。 第三者の主張や未検証の修正ではなく、緩和策についてはMicrosoft自身のアドバイザリに依拠しよう。
  5. 重要なデータをバックアップする。 オフラインまたは別の場所に保存された最近のバックアップは、あらゆる侵害による害を限定する。

結論

公開されたWindowsゼロデイのSYSTEMアクセスエクスプロイトは、冷静な警戒の理由であり、警報ではない。Microsoftは調査中で攻撃は確認していないと報告しているが、公開コードは他の人がそれを使おうとするまでの窓を短くする。パッチを待つ間、Windows Updateをオンにし、管理者アカウントを制限し、信頼できないファイルを避けよう。同様の最近の事例についてのより詳しい背景は、MiniPlasmaのSYSTEMレベルエクスプロイトとNightmare Eclipseのリリースに関する我々の報道をお読みください。