Microsoft Windows における Backup Service での一時ファイルの検証不備による任意のファイルが削除可能となる脆弱性(Scan Tech Report) | ScanNetSecurity
2024.05.31(金)

Microsoft Windows における Backup Service での一時ファイルの検証不備による任意のファイルが削除可能となる脆弱性(Scan Tech Report)

2023 年 1 月に、Microsoft Windows OS に、任意のファイルの削除が可能となる脆弱性が報告されています。

脆弱性と脅威
Microsoft Windows における Backup Service での一時ファイルの検証不備による任意のファイルが削除可能となる脆弱性(Scan Tech Report)
◆概要
 2023 年 1 月に、Microsoft Windows OS に、任意のファイルの削除が可能となる脆弱性が報告されています。脆弱性を悪用されてしまった場合は、サービス停止や権限昇格につながる可能性があります。セキュリティ更新プログラムの適用により対策してください。

◆分析者コメント
 当該脆弱性は、通常は一般権限では削除できないファイルを削除できるという脆弱性ですが、Windows OS ならではの機能を活用して、SYSTEM 権限でのコード実行につながる可能性があります。SYSTEM 権限でのコード実行ができない場合でも、Windows OS にとって重要なファイルの削除によりサービス停止が引き起こされる可能性があるため、対策を推奨します。

◆深刻度(CVSS)
[CVSS v3.1]
7.1

https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?name=CVE-2023-21752&vector=AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H&version=3.1&source=Microsoft%20Corporation

◆影響を受けるソフトウェア
 Windows 7 SP 1 から Windows 11 22H2 までの Windows OS が当該脆弱性の影響を受けると報告されています。

◆解説
 Microsoft Windows OS に、一般権限で任意の特権ファイルが削除可能となる脆弱性が報告されています。

 当該脆弱性は、Backup Service によるディレクトリ操作時の、一時ファイルの削除処理に起因するものです。作成した一時ファイルがリンクファイルであるかどうかを正しく検証しないため、一時ファイルが作成されてから削除するまでの間に、一時ファイルを削除対象へのジャンクションに差し替えることで SYSTEM 権限でのファイルの削除が可能となります。攻撃者は当該脆弱性の悪用により、一般権限で任意の特権ファイルを削除できます。

◆対策
 2023 年 1 月分の、Microsoft 公式のセキュリティ更新プログラムを適用してください。

◆関連情報
[1] Microsoft 社公式
  https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-21752
[2] National Vulnerability Database (NDV)
  https://nvd.nist.gov/vuln/detail/CVE-2023-21752
[3] CVE MITRE
  https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-21752

◆エクスプロイト
 以下の Web サイトにて、当該脆弱性の悪用による任意のファイル削除を試みるコードが公開されています。

  GitHub - Wh04m1001/CVE-2023-21752
  https://github.com/Wh04m1001/CVE-2023-21752/blob/main/v1/SDRsvcEop/main.cpp

//-- で始まる行は筆者コメントです。

《株式会社ラック デジタルペンテスト部》

編集部おすすめの記事

特集

脆弱性と脅威 アクセスランキング

  1. NISCを騙る不審な電話に注意喚起、サイバー攻撃の賠償や保険料要求

    NISCを騙る不審な電話に注意喚起、サイバー攻撃の賠償や保険料要求

  2. JAFを装うフィッシングサイトに注意喚起

    JAFを装うフィッシングサイトに注意喚起

  3. Cisco IOS XEのWeb UIに権限昇格の脆弱性

    Cisco IOS XEのWeb UIに権限昇格の脆弱性

  4. 大分銀行、偽のフィッシングサイト例を取り上げ注意を呼びかけ

  5. GROWI に複数の脆弱性

  6. 「非常に激しい雨」「猛烈な雨」とは、雨の強さと降り方の基準について解説

  7. クリックしていないのにアダルトサイトに登録させる「ゼロクリック詐欺」(シマンテック)

  8. バッファロー製 Wi-Fi ルータ WSR-1166DHP シリーズのボット感染を確認、複雑なパスワードへの変更を呼びかけ

  9. 富士通「Smart City 5G」等ソースコード流出か/長江メモリがエンティティリスト入り/検索エンジン悪用攻撃 FBI 警告 ほか [Scan PREMIUM Monthly Executive Summary 2022年12月度]

  10. 「ポケモンセンターオンライン」を装ったフィッシングサイトに注意喚起(ポケモンセンター)

アクセスランキングをもっと見る

「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」
「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」

ページ右上「ユーザー登録」から会員登録すれば会員限定記事を閲覧できます。毎週月曜の朝、先週一週間のセキュリティ動向を総括しふりかえるメルマガをお届け。(写真:ScanNetSecurity 名誉編集長 りく)

×