Microsoft Windows において AppXSvc での設定ファイルの取り扱い不備により任意のファイルのフルアクセス権限が取得可能となる脆弱性(Scan Tech Report) | ScanNetSecurity
2019.11.15(金)

Microsoft Windows において AppXSvc での設定ファイルの取り扱い不備により任意のファイルのフルアクセス権限が取得可能となる脆弱性(Scan Tech Report)

Microsoft Windows において、任意のファイルのフルアクセス権限を取得することが可能となる脆弱性が報告されています。

脆弱性と脅威 エクスプロイト
Microsoft Windows
Microsoft Windows 全 1 枚 拡大写真
◆概要

 Microsoft Windows において、任意のファイルのフルアクセス権限を取得することが可能となる脆弱性が報告されています。脆弱性を悪用されてしまった場合は、管理者権限でしか操作できないファイルを悪意のあるものに上書きされてしまったり、管理者権限でしか閲覧できないファイルを閲覧されてしまう可能性があります。セキュリティ更新プログラムの適用によって対策してください。

◆分析者コメント

 管理者権限でしか操作できないようなファイルのアクセス権を得ることが可能となる脆弱性ですが、書き換えるファイルによっては管理者権限で任意のコードを実行することが可能であるため、権限昇格に悪用され得る脆弱性です。当該脆弱性を起点にして、管理者権限で任意のコードを実行するエクスプロイトコードもすでに公開されているため、早急な対策を推奨します。

◆深刻度(CVSS)

[CVSS v3]
7.8
https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?name=CVE-2019-0841&vector=AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

[CVSS v2]
7.2
https://nvd.nist.gov/vuln-metrics/cvss/v2-calculator?name=CVE-2019-0841&vector=(AV:L/AC:L/Au:N/C:C/I:C/A:C)

◆影響を受けるソフトウェア

 以下のバージョンの Microsoft Windows が当該脆弱性の影響を受けます。

  - Microsoft Windows 10 Version 1703
  - Microsoft Windows 10 Version 1709
  - Microsoft Windows 10 Version 1803
  - Microsoft Windows 10 Version 1809
  - Microsoft Windows Server 2016 Version 1709
  - Microsoft Windows Server 2016 Version 1803
  - Microsoft Windows Server 2019


◆解説

 Microsoft Windows に、Windows AppX Deployment Service (AppXSvc) によるファイルの検証不備を悪用して、任意のファイルのフルアクセス権限を取得することが可能となる脆弱性が報告されています。

《株式会社ラック サイバー・グリッド研究所》

関連記事

この記事の写真

/
PageTop

特集

アクセスランキング

  1. メール誤送信後に隠蔽を行った25歳職員を懲戒処分(川崎市)

    メール誤送信後に隠蔽を行った25歳職員を懲戒処分(川崎市)

  2. CrowdStrike Blog:新学期をさらに憂うつにさせるランサムウェア

    CrowdStrike Blog:新学期をさらに憂うつにさせるランサムウェア

  3. サイバーリスク増大予想するも準備はできていないと考える日本(ファイア・アイ)

    サイバーリスク増大予想するも準備はできていないと考える日本(ファイア・アイ)

  4. 「カードの不正使用を検知し凍結した」とする、MyJCB偽メール(フィッシング対策協議会)

    「カードの不正使用を検知し凍結した」とする、MyJCB偽メール(フィッシング対策協議会)

  5. マイクロソフトが月例セキュリティ情報を公開、悪用も確認(IPA、JPCERT/CC)

    マイクロソフトが月例セキュリティ情報を公開、悪用も確認(IPA、JPCERT/CC)

  6. 独裁者御用達マルウェア「フィンフィッシャー」作成企業、ドイツのジャーナリストへ脅迫状 ~ 奴らは「ストライサンド効果」を知らないのか(The Register)

    独裁者御用達マルウェア「フィンフィッシャー」作成企業、ドイツのジャーナリストへ脅迫状 ~ 奴らは「ストライサンド効果」を知らないのか(The Register)

  7. 「5pb. Records div2 official shop」へ不正アクセス、カード情報が流出(コムス)

    「5pb. Records div2 official shop」へ不正アクセス、カード情報が流出(コムス)

  8. 重要インフラ14分野による分野横断的演習を開催、約5,000名が参加(NISC)

    重要インフラ14分野による分野横断的演習を開催、約5,000名が参加(NISC)

  9. Web上で行えるAndroidアプリの脆弱性診断サービス、LACへ譲渡(ラック)

    Web上で行えるAndroidアプリの脆弱性診断サービス、LACへ譲渡(ラック)

  10. MITRE ATT&CKフレームワーク等に準じた疑似攻撃で対策の有効性評価(ファイア・アイ)

    MITRE ATT&CKフレームワーク等に準じた疑似攻撃で対策の有効性評価(ファイア・アイ)

ランキングをもっと見る