Windows AppX Deployment Service においてファイルハンドルの取り扱い不備により任意のファイルのフルアクセス権が掌握可能となる脆弱性(Scan Tech Report) | ScanNetSecurity
2024.06.22(土)

Windows AppX Deployment Service においてファイルハンドルの取り扱い不備により任意のファイルのフルアクセス権が掌握可能となる脆弱性(Scan Tech Report)

Microsoft Windows において、任意のファイルのフルアクセス権を取得することが可能となる脆弱性が報告されています。

脆弱性と脅威 エクスプロイト
◆概要

 Microsoft Windows において、任意のファイルのフルアクセス権を取得することが可能となる脆弱性が報告されています。脆弱性を悪用されてしまった場合は、操作するためには管理者権限が必要となるファイルであってもフルアクセス権を奪取されてしまうことにより任意のファイルを操作されてしまいます。セキュリティ更新プログラムの適用により対策してください。

◆分析者コメント

 当該脆弱性はファイルのアクセス権を変更するのみですが、脆弱性の悪用が容易であり、操作されてしまうファイルによっては、対象ホストに侵入した攻撃者に管理者権限を奪取されてしまう可能性があります。セキュリティ更新プログラムの適用により、速やかに対策することを推奨します。

◆深刻度(CVSS)

[CVSS v3]
7.8
https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?name=CVE-2019-0841&vector=AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

[CVSS v2]
7.2
https://nvd.nist.gov/vuln-metrics/cvss/v2-calculator?name=CVE-2019-0841&vector=(AV:L/AC:L/Au:N/C:C/I:C/A:C)

◆影響を受けるソフトウェア

 以下のバージョンの Microsoft Windows が当該脆弱性の影響を受けます。

  - Microsoft Windows 10 Version 1703
  - Microsoft Windows 10 Version 1709
  - Microsoft Windows 10 Version 1803
  - Microsoft Windows 10 Version 1809
  - Microsoft Windows Server 2019
  - Microsoft Windows Server, version 1709
  - Microsoft Windows Server, version 1803

◆解説

 Microsoft Windows において、ストアアプリケーションを展開するためのサービスである Windows AppX Deployment Service (AppXSVC) に存在する不備により、任意のファイルのフルアクセス権が奪取可能となる脆弱性が報告されています。

《株式会社ラック デジタルペンテスト部》

関連記事

特集

PageTop

アクセスランキング

  1. グリコの基幹システム障害、一部商品出荷を 6 / 25 以降再開

    グリコの基幹システム障害、一部商品出荷を 6 / 25 以降再開

  2. 「プレミアムバンダイ」会員情報漏えいの可能性、委託先従業員が私物ハードディスクを使用

    「プレミアムバンダイ」会員情報漏えいの可能性、委託先従業員が私物ハードディスクを使用

  3. フジクラのタイ子会社に不正アクセス、国際ネットワーク経由で日本のグループ各社のサーバにも痕跡

    フジクラのタイ子会社に不正アクセス、国際ネットワーク経由で日本のグループ各社のサーバにも痕跡

  4. セキュリティ企業の セキュリティ企業による セキュリティ企業のための投資ファンド ~ GSX 青柳史郎が語る「日本サイバーセキュリティファンド」設立趣旨

    セキュリティ企業の セキュリティ企業による セキュリティ企業のための投資ファンド ~ GSX 青柳史郎が語る「日本サイバーセキュリティファンド」設立趣旨PR

  5. 横浜国立大学 学生間でメールアドレスが閲覧可能に 1万人利用可のクラウドサービスで

    横浜国立大学 学生間でメールアドレスが閲覧可能に 1万人利用可のクラウドサービスで

  6. 杏林大学職員 詐欺サイト クリックしたら不正アクセス被害

    杏林大学職員 詐欺サイト クリックしたら不正アクセス被害

  7. 今日もどこかで情報漏えい 第25回「2024年5月の情報漏えい」“いたずらに混乱” しているのはおまえらでは

    今日もどこかで情報漏えい 第25回「2024年5月の情報漏えい」“いたずらに混乱” しているのはおまえらでは

  8. ID リンク・マネージャーおよびFUJITSU Software TIME CREATORに複数の脆弱性

    ID リンク・マネージャーおよびFUJITSU Software TIME CREATORに複数の脆弱性

  9. 日本の CISO の 66%「ヒューマンエラーは最大のサイバー脆弱性」 ~ プルーフポイント「CISO意識調査レポート 2024」

    日本の CISO の 66%「ヒューマンエラーは最大のサイバー脆弱性」 ~ プルーフポイント「CISO意識調査レポート 2024」

  10. イセトーにランサムウェア攻撃、阿波銀行・藤沢市・茅ヶ崎市にも影響

    イセトーにランサムウェア攻撃、阿波銀行・藤沢市・茅ヶ崎市にも影響

ランキングをもっと見る