セキュリティ

SECURITY

公開：2024-08-21

Intel Unite® Clientに特権昇格の脆弱性、製品終了を発表しユーザーにアンインストールを推奨

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

• Intel Unite® Clientソフトウェアに特権昇格の脆弱性
• Intel Unite® Clientの製品終了を発表
• ユーザーに対しソフトウェアのアンインストールを推奨

Intel Unite® Clientソフトウェアの脆弱性と製品終了

Intelは2024年8月13日、Intel Unite® Clientソフトウェアに関するセキュリティアドバイザリ（INTEL-SA-01095）を公開した。このアドバイザリでは、Intel Unite® Client Extended Display Pluginソフトウェアインストーラーのバージョン1.1.352.157未満に特権昇格の可能性がある脆弱性が存在することが明らかになった。この脆弱性はCVE-2024-22378として識別されている。^[1]

脆弱性の深刻度はCVSS v3.1で6.7（中程度）、CVSS v4.0で5.4（中程度）と評価されている。攻撃者がこの脆弱性を悪用するには、ローカルアクセスが必要であり、認証された状態で特権昇格を引き起こす可能性がある。Intelはこの脆弱性に対する更新プログラムをリリースしない代わりに、Intel Unite® Clientソフトウェアの製品終了（EOL）を発表した。

Intelは、Intel Unite® Clientソフトウェアのユーザーに対し、できるだけ早くソフトウェアをアンインストールするか、使用を中止することを推奨している。この決定は、coordinated disclosureと呼ばれる業界標準のセキュリティ脆弱性開示プラクティスに基づいており、対策が利用可能になるまで脆弱性を公表しないという方針に従っている。

Intel Unite® Client脆弱性の概要

特権昇格について

特権昇格とは、コンピュータシステムにおいて、ユーザーや攻撃者が本来持っている権限以上の特権を不正に取得することを指しており、主な特徴として以下のような点が挙げられる。

• システム管理者レベルの権限を不正に取得可能
• 重要なシステムファイルやデータへのアクセスが可能になる
• マルウェアの実行やシステムの改ざんにつながる可能性がある

Intel Unite® Client Extended Display Pluginソフトウェアインストーラーの脆弱性では、認証された状態でローカルアクセスを持つ攻撃者が特権昇格を引き起こす可能性がある。この脆弱性はバージョン1.1.352.157未満のインストーラーに存在し、デフォルトのパーミッション設定の不備が原因となっている。Intelはこの問題に対して更新プログラムを提供せず、代わりに製品の終了を選択した。

Intel Unite® Clientの製品終了に関する考察

Intelが Intel Unite® Clientソフトウェアの製品終了を選択したことは、セキュリティリスクの管理と製品ライフサイクルの観点から見て適切な判断だといえる。特権昇格の脆弱性は、システム全体のセキュリティを脅かす可能性があるため、迅速な対応が求められる。製品の更新よりも終了を選択したことで、潜在的なリスクを完全に排除できる点は評価できるだろう。

しかし、この決定はIntel Unite® Clientの現ユーザーに大きな影響を与える可能性がある。特に、このソフトウェアを業務プロセスに組み込んでいる企業にとっては、代替ソリューションへの移行が必要となり、時間とコストがかかる可能性が高い。Intelには、ユーザーの円滑な移行を支援するためのガイダンスや代替ソリューションの提案など、より詳細なサポート情報の提供が求められるだろう。

今後、ソフトウェア開発企業は製品のセキュリティライフサイクル管理をより重視する必要がある。脆弱性が発見された際の対応計画を事前に策定し、製品の終了も含めた選択肢を常に検討しておくべきだ。また、ユーザーにとっては、使用しているソフトウェアの脆弱性情報を常に確認し、必要に応じて迅速に対応できる体制を整えることが重要になるだろう。

参考サイト

1. ^ Intel. 「INTEL-SA-01095」. https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-01095.html, (参照 24-08-21).
2. Intel. https://www.intel.co.jp/content/www/jp/ja/homepage.html

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「セキュリティ」に関するコラム一覧「セキュリティ」に関するニュース一覧