Microsoft Windows の権限昇格の脆弱性（CVE-2023-21823）

何が起きた

Windows で画面の描画などを受け持つグラフィックスの部品に、数値があふれる不具合（整数オーバーフロー）による弱点が見つかりました。CISA はこれを権限昇格の弱点としており、Microsoft の題名は「リモートでコードが実行される」弱点です。Microsoft によると、題名の「リモート」は攻撃者のいる場所を指し、攻撃そのものは対象のパソコン上で行われます。この弱点は実際の攻撃で悪用されたことが確認されており、NVD に登録された Microsoft の評価では、対象のパソコン上で、一般利用者程度の権限を持つ攻撃者が悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Windows 10、Windows 11、Windows Server 2008 から Windows Server 2022 までの各版を使っている人・組織が対象です。Microsoft の情報では、Microsoft Office for iOS、Microsoft Office for Android、Microsoft Office for Universal も対象に含まれています。

何をすればいい

2023年2月の Windows の更新プログラムを適用してください。Microsoft の情報では、Windows 10 Version 22H2 と 21H2 は KB5022834、Windows 11 Version 22H2 は KB5022845、Windows Server 2022 は KB5022842 です。Office for Universal は Microsoft Store が自動で更新しますが、自動更新を止めている場合は Microsoft Store から手動で更新します。iPhone や iPad、Android の Office アプリも、それぞれのストアから更新してください。公式の案内を確認し、お使いの版に合った更新を適用してください。

やることチェックリスト

• Windows Update で2023年2月の更新を適用する
• Office アプリを Microsoft Store で更新する
• スマホの Office アプリをストアで更新する

用語メモ

整数オーバーフロー 用語集で見る

計算の結果が、入れ物として用意した数の大きさを超えてしまう不具合です。メモリーを壊す攻撃のきっかけになることがあります。

権限昇格 用語集で見る

ふつうの利用者の権限しかない攻撃者が、管理者などのより強い権限を手に入れることです。

Microsoft Store

Windows 用のアプリを入手したり、更新したりするための Microsoft の公式ストアです。