セキュリティ

SECURITY

公開：2024-10-25

【CVE-2024-38129】Windows Server 2022に権限昇格の脆弱性、Kerberosの不備による深刻な影響が発覚

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

• Microsoft Windows Serverに権限昇格の脆弱性
• Windows Kerberosの不備による特権昇格の可能性
• 2024年10月に正式な対策パッチを公開

Windows Server 2022の権限昇格脆弱性

マイクロソフトは2024年10月8日、Microsoft Windows Server 2022の23H2 Edition (Server Core installation)において、Windows Kerberosの不備による権限昇格の脆弱性【CVE-2024-38129】を公開した。この脆弱性は攻撃者により権限が昇格される可能性があり、NVDのCVSS v3による深刻度基本値は6.6と警告レベルに位置付けられている。^[1]

攻撃元区分はネットワークであり、攻撃条件の複雑さは高く設定されているものの、機密性や完全性、可用性への影響は全て高いと評価されている。攻撃には高い特権レベルが必要とされるが、利用者の関与は不要とされており、影響の想定範囲に変更がない点も特徴的だ。

マイクロソフトはこの脆弱性に対する正式な対策として、セキュリティパッチを公開している。このパッチは富士通からも同様に公開されており、両社からセキュリティ情報として注意喚起が行われている。

Windows Server 2022の脆弱性詳細

権限昇格について

権限昇格とは、システムやアプリケーションにおいて通常より高い権限を不正に取得することを指す。主な特徴として、以下のような点が挙げられる。

• 管理者権限などの特権の不正取得が可能
• システムの重要な機能やデータへのアクセスが可能
• セキュリティ制御の迂回や無効化のリスクあり

Windows Kerberosにおける今回の脆弱性は、攻撃者が高い特権レベルを必要とするものの、ネットワーク経由で攻撃が可能な深刻な問題となっている。NVDの評価では、攻撃条件の複雑さは高いとされているが、機密性や完全性、可用性への影響が全て高く評価されており、早急な対応が必要だ。

Windows Kerberosの権限昇格脆弱性に関する考察

Windows Server 2022における今回の脆弱性は、サーバーセキュリティの観点から非常に重要な問題となっている。攻撃者が高い特権レベルを必要とする点は救いだが、ネットワーク経由での攻撃が可能であり、機密性や完全性、可用性への影響が全て高いという点は深刻な問題だ。

今後はKerberosの認証システムにおける新たな脆弱性が発見される可能性も考えられる。定期的なセキュリティ診断と迅速なパッチ適用が重要であり、特にサーバー管理者は常に最新のセキュリティ情報をキャッチアップする必要があるだろう。

セキュリティパッチの適用だけでなく、多層防御の観点からネットワークセグメンテーションやアクセス制御の見直しも重要となる。マイクロソフトには今後もKerberosのセキュリティ強化を継続的に行い、より堅牢な認証システムの実現に期待したい。

参考サイト

1. ^ JVN. 「JVNDB-2024-010960 - JVN iPedia - 脆弱性対策情報データベース」. https://jvndb.jvn.jp/ja/contents/2024/JVNDB-2024-010960.html, (参照 24-10-25).
2. Microsoft. https://www.microsoft.com/ja-jp

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「セキュリティ」に関するコラム一覧「セキュリティ」に関するニュース一覧