Microsoft Kerberos Key Distribution Center (KDC) の権限昇格の脆弱性（CVE-2014-6324）

何が起きた

Microsoft Windows の Kerberos KDC（ドメインのログインで使う「チケット」を発行する仕組み）に、チケットの署名の確かめ方を誤る弱点が見つかりました。偽の署名を付けたチケットを使うと、一般のドメイン利用者がドメイン管理者の権限を得られます。NVD に登録された CISA の評価では、離れた場所から、一般利用者程度の権限（ドメインのアカウント）を持つ攻撃者が悪用できます。実際の攻撃での悪用も確認されており、Microsoft もセキュリティ情報の公開時点で、限られた標的型の攻撃を把握していたと説明しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Windows のドメイン（Active Directory）を運用している組織が対象です。NVD の説明では Windows Server 2003 SP2、Windows Vista SP2、Windows Server 2008 SP2 と R2 SP1、Windows 7 SP1、Windows 8、Windows 8.1、Windows Server 2012 と R2 が挙がっています。一方、Microsoft のセキュリティ情報 MS14-068 では、深刻度が付いているのはサーバー版の Windows で、Windows 7 や Windows 8 などのクライアント版にはこの弱点はなく、守りを固めるための更新として配っていると説明しています。

何をすればいい

Microsoft はセキュリティ情報 MS14-068 で、この弱点を更新プログラム KB3011780 で直しています。Microsoft は回避策を示していないため、ドメインコントローラーを含む Windows Server に更新プログラムを当てることが対策になります。Microsoft のライフサイクルのページでは、Windows Server 2012 R2 は 2023年10月 に延長サポートが終わっているため、サポートが終わった版は使い続けず、サポート中の版に移ってください。あわせてメーカーの公式の案内を確認してください。

やることチェックリスト

• ドメインコントローラーに KB3011780 を適用する
• Windows Server すべてに更新プログラムを適用する
• サポートが終わった Windows Server を移行する

用語メモ

Kerberos

Windows のドメインなどで使われる、チケットを使って本人確認をする仕組みです。

KDC

Key Distribution Center の略で、Kerberos のチケットを発行する役目のサーバーの機能です。

ドメインコントローラー 用語集で見る

組織の Windows のアカウントやログインをまとめて管理するサーバーです。

ドメイン管理者

ドメイン内のすべてのコンピューターやアカウントを管理できる、いちばん強い権限を持つアカウントです。