コンピュータ

COMPUTER

公開：2024-10-18

マイクロソフトのWindows製品にセキュリティ機能回避の脆弱性、Windows Resume EFIの不備が原因

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

• Windows製品にセキュリティ機能回避の脆弱性
• Windows Resume EFIに不備が存在
• 深刻度基本値は6.7（警告）と評価

Microsoft Windows製品のセキュリティ脆弱性

マイクロソフトは、Windows 10、Windows 11、Windows Serverの複数の製品においてセキュリティ機能を回避される脆弱性が存在することを2024年10月8日に公開した。この脆弱性はWindows Resume Extensible Firmware Interfaceの不備に起因しており、攻撃者によって悪用される可能性がある。CVSSによる深刻度基本値は6.7（警告）と評価されている。^[1]

この脆弱性の特徴として、攻撃元区分がローカル、攻撃条件の複雑さが低、攻撃に必要な特権レベルが高、利用者の関与が不要とされている。影響の想定範囲に変更はないものの、機密性、完全性、可用性への影響はいずれも高いと評価されている。この脆弱性は、攻撃者がローカルで高い特権を持っていれば比較的容易に悪用できる可能性がある。

マイクロソフトは、この脆弱性に対する正式な対策として、セキュリティ更新プログラムを公開している。影響を受ける製品のユーザーは、マイクロソフトのセキュリティ更新プログラムガイドを参照し、適切な対策を実施することが強く推奨される。また、富士通も関連する製品に対してセキュリティ情報を公開しており、ユーザーは必要に応じて確認することが望ましい。

影響を受けるWindows製品一覧

CVSSについて

CVSSとは、Common Vulnerability Scoring Systemの略称で、情報システムの脆弱性の深刻度を評価するための業界標準指標である。CVSSによる評価では、以下のような要素が考慮される。

• 攻撃の容易さや影響範囲を数値化
• 0.0から10.0までのスコアで脆弱性を評価
• 攻撃元区分、攻撃条件の複雑さなどの要素を考慮

本脆弱性のCVSS v3による深刻度基本値は6.7（警告）と評価されている。この評価は、攻撃元区分がローカル、攻撃条件の複雑さが低、攻撃に必要な特権レベルが高、利用者の関与が不要という特徴を反映している。また、機密性、完全性、可用性への影響がいずれも高いと評価されており、潜在的な被害の大きさを示唆している。

Windows Resume EFIの脆弱性に関する考察

Windows Resume Extensible Firmware Interfaceの脆弱性は、システムの深部に関わる問題であり、その影響は広範囲に及ぶ可能性がある。特に、攻撃に必要な特権レベルが高いにもかかわらず攻撃条件の複雑さが低いという点は、内部攻撃や既に侵害されたシステムでの二次攻撃のリスクを高めている。この脆弱性を悪用されると、セキュリティ機能が回避され、システム全体の完全性が損なわれる恐れがある。

今後、この脆弱性を標的とした攻撃ツールや手法が開発される可能性があり、特に大規模組織や重要インフラを狙った攻撃に利用されるリスクがある。対策としては、マイクロソフトが提供するセキュリティ更新プログラムの迅速な適用が不可欠だが、それに加えて、特権アカウントの厳格な管理や、多層防御戦略の採用も重要となるだろう。また、仮想化技術やセキュアブートの強化など、ファームウェアレベルでのセキュリティ対策の重要性が今後さらに高まると予想される。

長期的には、OSとファームウェアの境界におけるセキュリティモデルの再考が必要になるかもしれない。マイクロソフトには、Windows OSとファームウェアの連携をより安全にする新たなアーキテクチャの開発や、脆弱性の早期発見・修正のためのセキュリティ研究者とのさらなる協力が期待される。同時に、ユーザー側も定期的なセキュリティアップデートの重要性を再認識し、組織全体でのセキュリティ意識の向上に取り組むべきだろう。

参考サイト

1. ^ JVN. 「JVNDB-2024-010468 - JVN iPedia - 脆弱性対策情報データベース」. https://jvndb.jvn.jp/ja/contents/2024/JVNDB-2024-010468.html, (参照 24-10-18).
2. Microsoft. https://www.microsoft.com/ja-jp

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「コンピュータ」に関するコラム一覧「コンピュータ」に関するニュース一覧