- ひとことでWindowsのGDIで、細工したデータからプログラムを動かされる弱点です。
- 深刻度8.8 重要CVSS v3.1
- まずやること2019年5月14日以降の更新プログラムを入れる
基本情報（データから表示）
| CVE番号 | CVE-2019-0903 |
|---|---|
| 製品 | Microsoft Graphics Device Interface (GDI) |
| 深刻度（CVSS） | 8.8 重要CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2022-03-25 |
| 米国政府機関の対応期限 | 2022-04-15 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | 不明 |
何が起きた
Windows の GDI（画面や印刷に文字や図形を描く仕組み）が、メモリ上のデータを正しく扱わない弱点が見つかりました。悪用されると、攻撃者がパソコンを乗っ取るおそれがあります。ネットワーク経由で、ログインしていない攻撃者が悪用できますが、利用者が何か操作する必要があるとされています。実際の悪用が確認されています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Windows 7、Windows 8.1、Windows 10、Windows Server 2008、2012、2016、2019 などを使う人が対象です。Microsoft は 2019年5月14日に修正を出しています。Windows 10 Home と Pro は、サポートが2025年10月14日に終わっています。
何をすればいい
2019年5月14日以降の Windows の更新プログラムが入っているか確認してください。たとえば Windows 10 Version 1809 と Windows Server 2019 は KB4494441、Windows 7 は KB4499164 または KB4499175 です。サポートが終わった Windows 10 Home や Pro を使い続けず、サポート中の版に移ることを検討してください。あわせて、公式の案内を確認してください。
やることチェックリスト
- 2019年5月14日以降の更新プログラムを入れる
- 知らない相手からのファイルを開かない
- サポート終了のWindows 10 Home・Proから移行する
用語メモ
- GDI
- Graphics Device Interface の略で、Windows が画面やプリンターに文字や図形を描くための仕組みです。
- 更新プログラム 用語集で見る
- メーカーが弱点や不具合を直すために配る修正です。Windows Update などで入れます。
次に読む
公式情報と元データ
公式情報
元データ（英語・CISA KEV より）を開く
Microsoft GDI Remote Code Execution Vulnerability
概要
A remote code execution vulnerability exists in the way that the Windows Graphics Device Interface (GDI) handles objects in the memory. An attacker who successfully exploited this vulnerability could take control of the affected system.
推奨対応
Apply updates per vendor instructions.
この元データの出どころ: CISA KEV カタログで見る