ITmedia NEWS > セキュリティ >
速報
» 2021年11月25日 10時50分 公開

Windows 10、11などのゼロデイ脆弱性、パッチ公開前に報告者が概念実証コード公開

Microsoftが11月のセキュリティ更新で修正したはずの脆弱性がまだ悪用できると、報告者が概念実証をGitHubで公開した。既にマルウェアサンプルが検出されているという報告もある。

[ITmedia]

 米Microsoftが11月のセキュリティ更新プログラムで修正したはずのWindowsインストーラのローカル昇格特権の脆弱性「CVE-2021-41379」はまだ完全に修正されておらず、依然として悪用される危険があると、この脆弱性をMicrosoftに報告した研究者が11月21日(現地時間)、GitHubに概念実証コードを公開した。

 cve Microsoftによる「CVE-2021-41379」の説明

 米Cisco Systemsのセキュリティ部門Cisco Talos Intelligence Groupは23日、このゼロデイ脆弱性を悪用する実際のマルウェアサンプルを既に検出していると発表した。

 この脆弱性を報告した自営のセキュリティ研究者、アブデルハミド・ナセリ氏は、Microsoftが公開したCVE-2021-41379のパッチを分析したところ、バグが正しく修正されていないことを発見したという。

 同氏が公開した概念実証では、最新のパッチを当てたWindows 10、11、Windows Server 2022で、Microsoft Edge Elevation Service DACL(任意のアクセス制御リスト)を上書きし、それ自体をサービスの場所にコピーして実行し、昇格された特権を取得できたとしている。

 ナセリ氏は米Bleeping Computerに対し、この脆弱性の修正を待たずに概念実証を公開した理由を、Microsoftがバグ報奨金を減額したことに対する不満だと語った。


 本稿執筆現在、このリスクを軽減するための公式の回避策はまだない。ユーザーにとっての最善策はMicrosoftが正しく機能する新たなパッチを提供するのを待つことだとナセリ氏は語った。

【更新履歴:2021年11月25日午後4時45分 当初報告者を「米Trend Microの研究者」としていましたが、同社の従業員ではなく、自営のセキュリティ研究者でした。お詫びして訂正します。】



Copyright © ITmedia, Inc. All Rights Reserved.