Microsoft、Windows 10/11に強制アップデートを警告――深刻なゼロデイ脆弱性「ByeBear」とは

Microsoftは、Windows 10/11 ビルド1903を公開してからわずか1ヶ月足らずで、最新版OSに対して強制的なアップグレードを実施せざるを得ないとユーザーに警告しました。この決定の背景には、ハッカーが管理者レベルの権限を取得し、ファイルの削除やアプリのインストール・実行が可能になる深刻なセキュリティ脆弱性の存在が明らかになったことがあります。

今回のアップデート警告は、悪名高いWindows脆弱性ハンターとして知られるSandboxEscaperが、Windows 10/11およびServer 2019のマシンに対して「完全な制御」を可能にする複数のエクスプロイトを公開したことを受けてのものです。

このタイミングは、Microsoftにとって最悪と言わざるを得ません。最新のWindowsアップデートの展開に先立ち、同社はアップデートプロセスにおける「より大きなコントロール」「品質」「透明性」をユーザーに提供すると約束していました。具体的には、アップデートのスケジュール設定や延期が可能で、インテリジェント アクティブ時間機能を使えば、ユーザーがPCを使用中であることを自動的に検出し、離席している可能性が高い時間帯にアップデートを実行するよう調整できました。

また、新版Windowsはゼロデイエクスプロイトへの耐性も高まっているはずでした。しかし現状では、同社は約束を破ってでも、ユーザーの同意なしにセキュリティパッチを配信し、面子を守るしかない状況に追い込まれています。

8億人を超えるWindowsユーザーの大半を占めるHomeエディションのユーザーは、あらゆる種類のアップデートを自動的に延期できないため、最も大きな影響を受けることになります。今回のエクスプロイトに関する唯一の朗報といえば、悪用には攻撃者が対象PCへの物理的なアクセス権を持っている必要があるという点です。これは、リモートアクセスを許してしまい、ユーザーデータの削除やChromiumベースブラウザの動作低下、ゲームパフォーマンスの劣化、アプリ更新の不具合などを引き起こした過去の脆弱性とは対照的です。

セキュリティパッチの現状

Microsoftはこれらの脆弱性に対するパッチの提供を約束していますが、依然として油断はできません。SandboxEscaperは同社との協力を拒み、代わりにGitHub上でエクスプロイトを公開。さらに、その使い方を解説するコンセプト実証（PoC）デモまで添えています。

さらに報道によれば、このハッカーは類似のエクスプロイトを「非西側諸国のバイヤー」に6万（通貨単位は不明）で売却しようともしているとのことです。責任ある開示のガイドラインに従わずにWindowsのゼロデイ脆弱性を公開するのは、SandboxEscaperにとって今回が初めてではありません。2018年には、Windowsタスクスケジューラのゼロデイ脆弱性を暴露し、悪意ある第三者が昇格された特権を得られる可能性があることを明らかにしました。

この脆弱性は、タスクスケジューラAPIが権限をチェックしていなかった点を突くものでした。Microsoftは後にパッチを適用しましたが、それは情報公開からわずか2日後、すでにスパイ活動に悪用された後のことでした。

こうした経緯があるからこそ、Microsoftは警戒を強めています。一方ではアップデートプロセスに対するユーザーのコントロール拡大という公約を守りたい。他方では、SandboxEscaperのようなゼロデイエクスプロイトハンターが仕掛ける「イタチごっこ」にも対応し続けなければならないのです。

公開された4つの脆弱性の詳細

1. 「ByeBear」――CVE-2019-0841パッチのバイパス

最新のエクスプロイトは「ByeBear」と呼ばれており、ローカル攻撃者が最近適用されたCVE-2019-0841のWindowsパッチを回避し、プログラムのインストール、ユーザーデータの削除・変更・閲覧といった権限を獲得できるものです。この権限昇格の欠陥は、Windows AppX展開サービス（AppXSVC）がハードリンクを不適切に処理することが原因です。

2. Microsoft Edgeを利用した2つ目のバイパス手法

SandboxEscaperがGitHubの解説記事で明らかにしたCVE-2019-0841パッチの2つ目のバイパス手法は、まず「c:\users\%username%\appdata\local\packages\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\」内のすべてのファイルとサブフォルダを削除し、その後Microsoft Edgeを2回起動するという手順を取ります。1回目の起動ではブラウザがクラッシュしますが、2回目の起動時には「SYSTEM」権限になりすましながらDACL（随意アクセス制御リスト）を書き込むのだと彼女は説明しています。

この2回目の起動によって不適切な権限のなりすましが発生し、攻撃者は昇格されたアクセス権を得られます。さらに彼女は、このバグがMicrosoft Edgeに限定されず、他のパッケージでも引き起こせることを示唆しています。

3. Internet Explorer 11へのDLL注入

一連の情報公開の中で明るみに出たもう一つのゼロデイエクスプロイトは、Internet Explorer 11に関するもので、攻撃者がブラウザにダイナミックリンクライブラリ（DLL）を注入できる可能性があるというものです。

4. Windows Updateの「インストーラーバイパス」

4つ目は、Windows Updateにおける「インストーラーバイパス」の問題です。

Microsoftの対応

Internet Explorerのバグについて、Microsoftは次のように述べています。「本脆弱性を悪用するには、攻撃者はまずシステムにログオンする必要があります。その後、特別に細工されたアプリケーションを実行することで、脆弱性を突き、影響を受けるシステムを制御できる可能性があります」。同社は、このエクスプロイトの悪用は容易ではないと見ているようです。

以上が、最新のWindows 10/11アップデート警告の概要です。最後にひとつアドバイスを。Outbyte PC RepairのようなPC修復ツールを活用してシステムをクリーンな状態に保ち、マルウェアなどの脅威から常に守りましょう。そうすることで、あなたのPCが悪意ある攻撃者の格好の標的になることを防げます。