最近の脆弱性 › CVE-2019-1405
Microsoft Windows の権限昇格の脆弱性（CVE-2019-1405）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2019-1405 |
|---|---|
| 製品 | Microsoft Windows |
| 深刻度（CVSS） | 7.8 重要CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2022-03-15 |
| 米国政府機関の対応期限 | 2022-04-05 |
| ランサムウェアでの悪用 | 悪用が確認されている |
| 弱点の種類（CWE） | 不明 |
何が起きた
Windows の UPnP サービス（ネットワーク上の機器どうしを自動でつなぐための機能）が、COM オブジェクト（Windows の部品の仕組み）の作成を不適切に許してしまう弱点がありました。すでにその機器にログインできる攻撃者が、細工したスクリプトやアプリを動かすことで、システムの高い権限で任意のコード（攻撃者が好きに選べるプログラム）を実行できるおそれがあります。Microsoft の公開時点では悪用は確認されていませんでしたが、その後 CISA の KEV に悪用が確認された脆弱性として載り、ランサムウェアの攻撃での利用も確認されています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Microsoft によると、Windows 7、Windows 8.1、Windows 10 の各バージョン、Windows Server 2008 から Windows Server 2019 までなど、多くの Windows が影響を受けます。お使いの Windows が対象かは、Microsoft の更新プログラムの案内で確かめてください。
何をすればいい
Windows Update で、この弱点を直す更新プログラムが入っているか確認してください。Microsoft は、更新プログラムで UPnP サービスが COM オブジェクトを扱う方法を直したと説明しています。詳しくは公式の案内を確認してください。
やることチェックリスト
- Windows Update で更新プログラムを入れる
- サーバーの Windows も更新が済んだか調べる
- 影響製品の一覧で自分の Windows を調べる
用語メモ
- UPnP
- ネットワークにつないだ機器どうしが、細かい設定なしにお互いを見つけて使えるようにする仕組みです。
- COM オブジェクト
- Windows で、プログラムどうしが機能を呼び出し合うための部品の仕組みです。
- ランサムウェア
- データを暗号化して使えなくし、元に戻す代わりに身代金を求める不正なプログラムです。
元データ（英語・CISA KEV より）
Microsoft Windows Universal Plug and Play (UPnP) Service Privilege Escalation Vulnerability
概要
A privilege escalation vulnerability exists when the Windows UPnP service improperly allows COM object creation.
推奨対応
Apply updates per vendor instructions.