修正プログラム適用はわずか 放置されるWindowsの深刻な脆弱性に注意：セキュリティニュースアラート

Depth Securityは、Windows SMBの脆弱性CVE-2025-33073を悪用したNTLMリフレクション攻撃の調査結果を公表した。修正プログラム未適用の環境が多く、SMB署名が有効でも他のプロトコルへのリレー攻撃によって権限昇格を招く恐れがある。

[ITmedia エンタープライズ編集部]

　Depth Securityは2026年1月14日（現地時間）、「Windows」のSMB認証に起因する脆弱（ぜいじゃく）性「CVE-2025-33073」を悪用したNTLMリフレクション攻撃についての調査結果を公表した。

　2025年6月に修正プログラムが公開されてから約7カ月が経過しているにもかかわらず、多くの企業環境で依然として修正が適用されていない実態が確認された。

SMB署名有効でも突破の恐れ　Windowsの脆弱性「CVE-2025-33073」に警鐘

　CVE-2025-33073は、Windows SMBにおける不適切なアクセス制御により、正規の認証済み利用者がネットワーク経由で権限昇格ができる問題とされている。Depth Securityは企業のドメインコントローラーや特権度の高いサーバ、一般的なワークステーションなど、幅広い端末でこの問題が残存している事例を多数確認したと報告した。攻撃者が環境全体を侵害する経路が容易に成立するケースがあったとしている。

　報告ではNTLMローカル認証の仕組みが攻撃に利用される点が説明されている。「NTLM_CHALLENGE」メッセージでローカル認証が指定されると、Windowsはサーバ側にコンテキストを作成し、その中に認証トークンを格納する。

　この動作は同一端末内の「lsass.exe」プロセス内で閉じられているが、「PetitPotam」や「DFSCoerce」「Printerbug」といった認証強制手法を使うことで、SYSTEM権限で動作するlsass.exeが、攻撃者の制御下にあるサーバに対して認証を実行することが可能になる。結果として、SYSTEMトークンが不正に利用され、SMB経由で機密情報の取得や操作ができるという。

　攻撃の前提条件についても触れている。「Active Directory」環境においては、既定設定のままでは多くの認証済み利用者がDNSゾーンに任意のレコードを登録できる場合があり、これが悪用される可能性がある。設定が変更されている場合でも、同一ブロードキャストドメイン内でのDNSポイズニングなどによって攻撃が成立する余地が残ると指摘した。

　SMB署名が有効な環境でも安全とは限らない点も示した。従来、SMB署名の有効化はリレー攻撃への対策と考えられてきたが、調査ではSMBからLDAPSなど他のプロトコルへのクロスプロトコルリレーが成立する事例を確認したとしている。NTLMSSPヘッダ内の署名関連フラグを除去しつつ、メッセージ整合性コード（MIC）を保持する手法により、特定の条件下においてチャネルバインディングや署名が設定されている環境でも影響を受ける可能性があると説明した。

　リモートプロシージャコール（RPC）サービスへの同様の手法では後続通信でのセッションキー暗号化が要求されるため、実行可能な操作が制限される結果となったという。ただし、認証自体は成立するケースがあり、構成次第では追加の研究余地があるとの見解を示した。

　Depth SecurityはCVE-2025-33073は単にSMB署名が無効な端末に限定される問題ではなく、複数のプロトコルに影響を及ぼす深刻な脆弱性と結論付けている。対策として、2025年6月に公開されたWindowsのセキュリティ更新プログラムを速やかに適用すること、各種プロトコルで署名とチャネルバインディングを有効にすること、Active Directory DNSのアクセス制御を見直すことを推奨している。加えて、NTLM認証を前提とした設計全体を再点検する必要があるとしている。