Microsoft Windows において SeImpersonatePrivilege 特権を持つアカウントが DiagTrack サービスを悪用して権限昇格が可能となる手法(Scan Tech Report) | ScanNetSecurity
2024.03.29(金)

Microsoft Windows において SeImpersonatePrivilege 特権を持つアカウントが DiagTrack サービスを悪用して権限昇格が可能となる手法(Scan Tech Report)

Microsoft Windows で、特定の条件を満たすアカウントでの侵入に成功した場合に権限昇格が可能となる手法で SYSTEM 権限を奪取するエクスプロイトコードが公開されています。

脆弱性と脅威
https://github.com/Wh04m1001/DiagTrackEoP
◆概要
 Microsoft Windows で、特定の条件を満たすアカウントでの侵入に成功した場合に権限昇格が可能となる手法で SYSTEM 権限を奪取するエクスプロイトコードが公開されています。サーバソフトウェアなどの脆弱性を悪用されて攻撃者に侵入された場合などに、悪用される可能性があります。条件を満たすアカウントで稼働しているソフトウェアの脆弱性への対処により、手法の影響を受ける可能性を低減してください。

◆分析者コメント
 Microsoft Windows では、SeImpersonatePrivilege はサーバ型のソフトウェアの実行アカウントで有効化されている場合が多い特権です。サーバ型のソフトウェアに何かしらの脆弱性が存在した場合、SeImpersonatePrivilege が有効である可能性があるため、当該特権だけを用いて SYSTEM 権限を奪取する多種多様な手法が、攻撃者により日々開発されている状況です。Microsoft によりセキュリティパッチが充てられても、新たな手法が開発される可能性が高いため、サーバ型のソフトウェアを追加でインストールする場合は注意が必要です。

◆影響を受けるソフトウェア
 Windows 10 と Windows 11 が当該手法の影響を受けることを確認していますが、どの程度古いバージョンまで影響を受けるかは確認できていません。

◆解説
 Microsoft Windows で、SeImpersonatePrivilege が行使可能なアカウントを用いて、SYSTEM 権限が奪取可能となる手法が公開されています。

 公開された手法は、トラブルシュート用のサービスである DiagTrack サービスを踏み台にするものです。RPC 通信を使用して、DiagTrack サービスに指定した名前付きパイプへの通信を発生させることが可能であるため、クライアントのアクセストークンの借用を可能とする SeImpersonatePrivilege が行使可能なアカウントで名前付きパイプを作成し、DiagTrack サービスを踏み台にすることで、SYSTEM 権限の奪取が可能となります。

◆対策
 SeImpersonatePrivilege が有効なアカウントで稼働しているソフトウェアの脆弱性対策を強化することで、当該手法を悪用されてしまう可能性を低減できます。

◆関連情報
[1] Crispr --Loving & Learning
  https://www.crisprx.top/archives/561

◆エクスプロイト
 以下の Web サイトにて、当該手法により SYSTEM 権限への昇格を試みるエクスプロイトコードが公開されています。

  GitHub - Wh04m1001/DiagTrackEoP
  https://github.com/Wh04m1001/DiagTrackEoP

《株式会社ラック デジタルペンテスト部》

特集

脆弱性と脅威 アクセスランキング

  1. Python 3.10.14、3.9.19、3.8.19 をリリース

    Python 3.10.14、3.9.19、3.8.19 をリリース

  2. Jenkins に任意のファイルの読み取りが可能となるコマンドラインインターフェース機能におけるアクセス制御不備の脆弱性(Scan Tech Report)

    Jenkins に任意のファイルの読み取りが可能となるコマンドラインインターフェース機能におけるアクセス制御不備の脆弱性(Scan Tech Report)

  3. 富士通「Smart City 5G」等ソースコード流出か/長江メモリがエンティティリスト入り/検索エンジン悪用攻撃 FBI 警告 ほか [Scan PREMIUM Monthly Executive Summary 2022年12月度]

    富士通「Smart City 5G」等ソースコード流出か/長江メモリがエンティティリスト入り/検索エンジン悪用攻撃 FBI 警告 ほか [Scan PREMIUM Monthly Executive Summary 2022年12月度]

  4. KDDI 製ホームゲートウェイ HGW BL1500HM に複数の脆弱性

  5. エポスカードを騙るフィッシングSMSを確認(フィッシング対策協議会)

  6. CLUB Panasonic を騙る不審メールに注意を呼びかけ、「ETC利用照会サービス」や「dカード利用停止のお知らせ」など

  7. 観光庁が注意喚起、Booking.com 利用者へのフィッシング被害

  8. 「Pokemon GO」で身元バレの可能性、個人情報の管理に注意

  9. 2021年にプロジェクト終了の Zeroshell に OS コマンドインジェクションの脆弱性、2023年11月に開発者への連絡を確立

  10. TikTok を悪用する新たな詐欺行為、盗んだ動画でライブ配信しギフトを収益化

アクセスランキングをもっと見る

「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」
「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」

ページ右上「ユーザー登録」から会員登録すれば会員限定記事を閲覧できます。毎週月曜の朝、先週一週間のセキュリティ動向を総括しふりかえるメルマガをお届け。(写真:ScanNetSecurity 名誉編集長 りく)

×