Microsoft Windows の脆弱性（CVE-2021-36942）

何が起きた

Windows の Local Security Authority（LSA）に、なりすましにつながる弱点が見つかりました。Microsoft によると、ログインしていない攻撃者が LSARPC という窓口の機能を呼び出し、ドメインコントローラーに NTLM という方式で別のサーバーへ認証させることができます。NVD の評価では、離れた場所からログイン不要で攻撃できます。CISA の一覧に悪用が確認された脆弱性として載っており、CISA によるとランサムウェアでの悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Microsoft によると、Windows Server 2008 から Windows Server 2019 まで、Windows Server のバージョン 2004 と 20H2 が影響を受けます。Microsoft は、すべてのサーバーが影響を受けるものの、ドメインコントローラーを優先して更新するよう案内しています。

何をすればいい

Microsoft が2021年8月10日に公開したセキュリティ更新プログラムを、ドメインコントローラーから優先して適用してください。Microsoft は更新の後にも KB5005413 に書かれた追加の対策が必要としており、ADV210003 も参考にするよう案内しています。公式の案内を確認し、使っている Windows Server に合う更新を入れてください。

やることチェックリスト

• ドメインコントローラーから2021年8月の更新を適用する
• KB5005413 に書かれた追加の対策を行う
• ほかの Windows Server にも同じ更新を適用する

用語メモ

ドメインコントローラー

会社などのネットワークで、利用者のアカウントやログインをまとめて管理するサーバーです。

NTLM

Windows で使われる、利用者やコンピューターが本人であることを確かめる方式の一つです。

なりすまし

攻撃者が別の人やコンピューターのふりをして、相手をだますことです。