Microsoft Windows の認証の欠如の脆弱性（CVE-2022-26925）

何が起きた

Microsoft Windows の LSA（ローカル セキュリティ機関。ログインや認証を管理する仕組み）に、なりすましの弱点が見つかりました。Microsoft の説明では、ログインしていない攻撃者が LSARPC という窓口の機能を呼び出し、ドメインコントローラーに NTLM という方式で攻撃者あてに認証させることができます。Microsoft は、悪用には攻撃者が通信の途中に割り込む（中間者攻撃）必要があると説明しています。NVD の評価では、ネットワーク経由で、権限のない攻撃者でも悪用でき、利用者の操作も不要です。実際の攻撃での悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Windows 7、Windows 8.1、Windows 10、Windows 11、Windows Server 2008 から Windows Server 2022 までの各版が対象です。Microsoft は、すべてのサーバーが影響を受けるが、ドメインコントローラーを優先して更新するよう案内しています。

何をすればいい

この弱点を修正する Microsoft の更新プログラムを、ドメインコントローラーを優先して適用してください。更新は LSARPC への匿名の接続を見つけて拒否します。Microsoft は、更新のあとに KB5005413 の手順も行うよう案内しており、ADV210003（AD CS への NTLM リレー攻撃の緩和）も参考になるとしています。CISA の手引きでは、2022年6月14日の更新を適用するよう求めており、ドメインコントローラーに適用すると証明書を使った認証が動かなくなる場合があるため、適用のあとにレジストリの設定を行う手順が示されています。あわせて公式の案内を確認してください。

やることチェックリスト

• ドメインコントローラーを優先して更新する
• KB5005413 の手順を行う
• ADV210003 の緩和策を確かめる

用語メモ

ドメインコントローラー

組織のネットワークで、利用者のログインや権限をまとめて管理するサーバーのことです。

NTLM

Windows で使われてきた古い認証の方式のことです。

中間者攻撃

通信する二者の間に攻撃者が入り込み、やり取りをのぞいたり書き換えたりする攻撃のことです。

NTLM リレー攻撃

盗み取った NTLM の認証のやり取りを別のサーバーに転送して、本人になりすます攻撃のことです。