最近の脆弱性 › CVE-2023-21674
Microsoft Windows の権限昇格の脆弱性（CVE-2023-21674）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2023-21674 |
|---|---|
| 製品 | Microsoft Windows |
| 深刻度（CVSS） | 8.8 重要CVSS v3.1 NVD に登録された、他の機関（開発元など）による評価 詳細（ベクター）CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H |
| KEVへの追加日 | 2023-01-10 |
| 米国政府機関の対応期限 | 2023-01-31 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-416 |
何が起きた
Windows の中でプログラムどうしがやり取りするしくみ ALPC（Advanced Local Procedure Call）に、使い終わったメモリーをまた使ってしまう弱点が見つかりました。悪用されると、攻撃者は SYSTEM という最も強い権限を得られるおそれがあり、Microsoft はブラウザーのサンドボックスから抜け出すことにつながる可能性があるとしています。攻撃者はそのパソコンに一般利用者の権限で入っている必要があります。実際に悪用が確認されており、Microsoft も悪用を確認しています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Windows 8.1、Windows 10、Windows 11、Windows Server 2012 R2、2016、2019、2022 などを使っている人・組織が対象です。2023年1月の更新を当てていないパソコンやサーバーが影響を受けます。
何をすればいい
Windows Update で2023年1月以降の更新を当ててください。例えば Windows 11 Version 22H2 は KB5022303、Windows 10 Version 22H2 は KB5022282、Windows Server 2022 は KB5022291 です。ほかの版の更新番号は、公式の案内（Microsoft のセキュリティ更新プログラムガイド）で確認してください。
やることチェックリスト
- Windows Update で2023年1月以降の更新を当てる
- Windows 11 22H2 は KB5022303 を当てる
- Windows Server 2022 は KB5022291 を当てる
用語メモ
- ALPC
- Windows の中で、プログラムどうしが素早くデータをやり取りするためのしくみのことです。
- SYSTEM
- Windows で、管理者よりもさらに強い、OS そのものが使う最高の権限のことです。
- サンドボックス
- プログラムを閉じた箱の中で動かし、パソコン全体に手を出せないようにするしくみのことです。
元データ（英語・CISA KEV より）
Microsoft Windows Advanced Local Procedure Call (ALPC) Privilege Escalation Vulnerability
概要
Microsoft Windows Advanced Local Procedure Call (ALPC) contains an unspecified vulnerability that allows for privilege escalation.
推奨対応
Apply updates per vendor instructions.