Microsoft Windows の権限昇格の脆弱性（CVE-2021-36934）

何が起きた

Windows で、パスワード情報などを保存する SAM データベースを含む複数のシステムファイルに、必要以上に広い読み取りの許可が付いていました。システムドライブのシャドウコピーがあると、一般の利用者でも SAM を読めてしまい、最も強い権限（SYSTEM）を得られるおそれがあります。CISA は悪用が確認された脆弱性の一覧に載せています。NVD の評価では、攻撃者はその機器上で一般利用者程度の権限を持っている必要があります。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Microsoft によると、Windows 10 Version 1809、1909、2004、20H2、21H1 が対象です。Microsoft の説明では、攻撃者はまず対象の機器でプログラムを動かせる状態である必要があります。

何をすればいい

Windows Update で更新プログラム（Windows 10 Version 2004、20H2、21H1 は KB5005033、1909 は KB5005031、1809 は KB5005030）を入れてください。Microsoft は、更新を入れるだけでは対策が終わらず、SAM を含むシステムファイルのシャドウコピーを手作業ですべて削除する必要があると説明しています。削除の手順は KB5005357 にあり、削除すると以前の復元ポイントが使えなくなるため、必要なら新しい復元ポイントを作ります。公式の案内を確認してください。

やることチェックリスト

• KB5005033 など対応する更新プログラムを入れる
• 更新後にシャドウコピーを手作業で削除する
• 必要なら新しい復元ポイントを作り直す

用語メモ

SAM

Windows の利用者のアカウント情報やパスワードの情報を保存しているデータベースです。

シャドウコピー

Windows がファイルのある時点の状態を保存しておく仕組みです。復元ポイントやバックアップに使われます。

復元ポイント

Windows の状態を前の時点に戻すために保存しておく記録です。