Windows 10、11などのゼロデイ脆弱性、パッチ公開前に報告者が概念実証コード公開

公開 2021年11月25日 10時55分

更新 2021年11月25日 04時45分

[ITmedia]

印刷する

　米Microsoftが11月のセキュリティ更新プログラムで修正したはずのWindowsインストーラのローカル昇格特権の脆弱性「CVE-2021-41379」はまだ完全に修正されておらず、依然として悪用される危険があると、この脆弱性をMicrosoftに報告した研究者が11月21日（現地時間）、GitHubに概念実証コードを公開した。

Microsoftによる「CVE-2021-41379」の説明

　米Cisco Systemsのセキュリティ部門Cisco Talos Intelligence Groupは23日、このゼロデイ脆弱性を悪用する実際のマルウェアサンプルを既に検出していると発表した。

　この脆弱性を報告した自営のセキュリティ研究者、アブデルハミド・ナセリ氏は、Microsoftが公開したCVE-2021-41379のパッチを分析したところ、バグが正しく修正されていないことを発見したという。

　同氏が公開した概念実証では、最新のパッチを当てたWindows 10、11、Windows Server 2022で、Microsoft Edge Elevation Service DACL（任意のアクセス制御リスト）を上書きし、それ自体をサービスの場所にコピーして実行し、昇格された特権を取得できたとしている。

　ナセリ氏は米Bleeping Computerに対し、この脆弱性の修正を待たずに概念実証を公開した理由を、Microsoftがバグ報奨金を減額したことに対する不満だと語った。

　本稿執筆現在、このリスクを軽減するための公式の回避策はまだない。ユーザーにとっての最善策はMicrosoftが正しく機能する新たなパッチを提供するのを待つことだとナセリ氏は語った。

【更新履歴：2021年11月25日午後4時45分　当初報告者を「米Trend Microの研究者」としていましたが、同社の従業員ではなく、自営のセキュリティ研究者でした。お詫びして訂正します。】

印刷する