Microsoft Windows において AppXSvc での設定ファイルの取り扱い不備により任意のファイルのフルアクセス権限が取得可能となる脆弱性(Scan Tech Report) | ScanNetSecurity
2020.02.19(水)

Microsoft Windows において AppXSvc での設定ファイルの取り扱い不備により任意のファイルのフルアクセス権限が取得可能となる脆弱性(Scan Tech Report)

Microsoft Windows において、任意のファイルのフルアクセス権限を取得することが可能となる脆弱性が報告されています。

脆弱性と脅威 エクスプロイト
Microsoft Windows
Microsoft Windows 全 1 枚 拡大写真
◆概要

 Microsoft Windows において、任意のファイルのフルアクセス権限を取得することが可能となる脆弱性が報告されています。脆弱性を悪用されてしまった場合は、管理者権限でしか操作できないファイルを悪意のあるものに上書きされてしまったり、管理者権限でしか閲覧できないファイルを閲覧されてしまう可能性があります。セキュリティ更新プログラムの適用によって対策してください。

◆分析者コメント

 管理者権限でしか操作できないようなファイルのアクセス権を得ることが可能となる脆弱性ですが、書き換えるファイルによっては管理者権限で任意のコードを実行することが可能であるため、権限昇格に悪用され得る脆弱性です。当該脆弱性を起点にして、管理者権限で任意のコードを実行するエクスプロイトコードもすでに公開されているため、早急な対策を推奨します。

◆深刻度(CVSS)

[CVSS v3]
7.8
https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?name=CVE-2019-0841&vector=AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

[CVSS v2]
7.2
https://nvd.nist.gov/vuln-metrics/cvss/v2-calculator?name=CVE-2019-0841&vector=(AV:L/AC:L/Au:N/C:C/I:C/A:C)

◆影響を受けるソフトウェア

 以下のバージョンの Microsoft Windows が当該脆弱性の影響を受けます。

  - Microsoft Windows 10 Version 1703
  - Microsoft Windows 10 Version 1709
  - Microsoft Windows 10 Version 1803
  - Microsoft Windows 10 Version 1809
  - Microsoft Windows Server 2016 Version 1709
  - Microsoft Windows Server 2016 Version 1803
  - Microsoft Windows Server 2019


◆解説

 Microsoft Windows に、Windows AppX Deployment Service (AppXSvc) によるファイルの検証不備を悪用して、任意のファイルのフルアクセス権限を取得することが可能となる脆弱性が報告されています。

《株式会社ラック サイバー・グリッド研究所》

関連記事

この記事の写真

/
PageTop

特集

アクセスランキング

  1. gmai.com ドメインは実在、タイプミス誤送信 法人情報流出(新潟県)

    gmai.com ドメインは実在、タイプミス誤送信 法人情報流出(新潟県)

  2. 新型コロナウイルスに関する注意喚起メール誤送信、24事業者アドレス流出(神戸市)

    新型コロナウイルスに関する注意喚起メール誤送信、24事業者アドレス流出(神戸市)

  3. 攻撃プロセスなど不正アクセスに関する情報を共有(三菱電機)

    攻撃プロセスなど不正アクセスに関する情報を共有(三菱電機)

  4. 上野宣氏のような人材も 情報セキュリティ人材のマッチングサービス「vCISO」正式サービスイン(GSX)

    上野宣氏のような人材も 情報セキュリティ人材のマッチングサービス「vCISO」正式サービスイン(GSX)

  5. サイバー犯罪の検挙件数、2019年は9,542件に(警察庁)

    サイバー犯罪の検挙件数、2019年は9,542件に(警察庁)

  6. 「情報セキュリティ文化賞」発表、上野宣氏、川口洋氏など6名が受賞(情報セキュリティ大学院大学)

    「情報セキュリティ文化賞」発表、上野宣氏、川口洋氏など6名が受賞(情報セキュリティ大学院大学)

  7. タイプミスしたメールアドレス実在し数ヶ月「全員に返信」、調査で類似事案も発見(佐賀県)

    タイプミスしたメールアドレス実在し数ヶ月「全員に返信」、調査で類似事案も発見(佐賀県)

  8. マイクロソフトが2月のセキュリティ情報を公開、悪用も確認(IPA、JPCERT/CC)

    マイクロソフトが2月のセキュリティ情報を公開、悪用も確認(IPA、JPCERT/CC)

  9. 不正アクセス原因「設定不備」と並び「不明」もトップ、究明の難しさ反映(IPA)

    不正アクセス原因「設定不備」と並び「不明」もトップ、究明の難しさ反映(IPA)

  10. サポート終了の「IBM ServeRAID Manager」にリモートコード実行の脆弱性(JVN)

    サポート終了の「IBM ServeRAID Manager」にリモートコード実行の脆弱性(JVN)

ランキングをもっと見る