Microsoft Windows のリモートコード実行の脆弱性（CVE-2020-1350）

何が起きた

Windows の DNS サーバーに、要求を正しく処理できない弱点が見つかりました。SIGRed という名前でも知られています。悪用されると、Local System という強い権限で任意のコードを実行されるおそれがあります。NVD の評価では、ログインしていない攻撃者が、ネットワーク経由で離れた場所から悪用できます。Microsoft の公開時の評価では悪用は確認されていませんでしたが、その後 CISA の KEV に掲載されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

DNS サーバーとして設定された Windows Server 2008、2008 R2、2012、2012 R2、2016、2019 と、Windows Server, version 1903、1909、2004 が対象です。Microsoft によると、インターネットに公開していない社内向けの DNS サーバーも影響を受けますが、Windows の DNS クライアントは影響を受けません。

何をすればいい

2020年7月のセキュリティ更新プログラムを適用してください。たとえば Windows Server 2019 は KB4558998、Windows Server 2016 は KB4565511、Windows Server 2012 R2 は KB4565541 または KB4565540 です。すぐに適用できない場合、Microsoft は回避策として、レジストリの TcpReceivePacketSize を 0xFF00 に設定し、DNS サービスを再起動する方法を案内しています（詳しくは KB4569509）。更新を適用したあとは、この設定を取り除けます。公式の案内（Microsoft のセキュリティ更新ガイド）も確認してください。

やることチェックリスト

• DNS サーバーとして動く Windows Server を確認する
• 2020年7月のセキュリティ更新を適用する
• すぐ更新できなければレジストリの回避策を設定する

用語メモ

DNS サーバー

ドメイン名（例えば会社のサイトの名前）を、通信に使う番号（IP アドレス）に変換するサーバーです。

Local System

Windows の中でとても強い権限を持つ、システム用のアカウントです。

レジストリ

Windows の設定がまとめて保存されている場所です。