Microsoft Active Directory の権限昇格の脆弱性（CVE-2022-26923）

何が起きた

Microsoft の Active Directory ドメインサービスで、ログイン済みの利用者が、自分が持つか管理するコンピューターアカウントの属性を書き換え、Active Directory 証明書サービスから証明書を取得することで、SYSTEM の権限まで高められる弱点が見つかりました。NVD の評価では、一般利用者程度の権限を持つ攻撃者が、離れた場所から利用者の操作なしに悪用できるとされています。CISA の KEV に、悪用が確認された脆弱性として載っています。なお、Microsoft の公開時点の情報では悪用は確認されていないとされていました。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Windows Server 2012 R2、2016、2019、2022 などで Active Directory を運用している組織が対象です。Microsoft によると、ネットワーク内のサーバーに Active Directory 証明書サービスと Active Directory ドメインサービスの両方の役割が入っている場合に影響を受けます（同じサーバーでなくても対象です）。

何をすればいい

2022年5月以降の Windows のセキュリティ更新プログラムを、ドメインコントローラーなどに適用しているか確認してください。Microsoft は 2023年4月 に第2段階の更新を出し、レジストリで無効モードにする設定を使えなくしています。証明書による認証の変更点について、Microsoft の公式の案内を確認してください。

やることチェックリスト

• 2022年5月以降の更新をサーバーに適用する
• 2023年4月の第2段階の更新も適用する
• 証明書サービスを入れたサーバーを確かめる

用語メモ

Active Directory

組織の中の利用者やコンピューターを、まとめて管理・認証するための Windows の仕組みです。

ドメインコントローラー

Active Directory で、ログインの確認やアカウントの管理を受け持つサーバーです。

SYSTEM

Windows で最も強い権限を持つアカウントです。