最近の脆弱性 › CVE-2023-36025
Microsoft Windows の脆弱性（CVE-2023-36025）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2023-36025 |
|---|---|
| 製品 | Microsoft Windows |
| 深刻度（CVSS） | 8.8 重要CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2023-11-14 |
| 米国政府機関の対応期限 | 2023-12-05 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | 不明 |
何が起きた
Windows の SmartScreen（危ないファイルやサイトに警告を出す機能）に、チェックをすり抜けられる弱点が見つかりました。攻撃者は、Windows Defender SmartScreen の確認と、それに伴う警告の表示を回避できるおそれがあります。ネットワーク経由で、権限を持たない攻撃者が悪用できますが、利用者の操作が必要です。実際に悪用されたことが確認されています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Windows 10、Windows 11、Windows Server 2008 から Windows Server 2022 までの各版を使っている人・組織が対象です。Microsoft によると、利用者が細工されたインターネットショートカット（.URL ファイル）か、それを指すリンクをクリックすると被害を受けます。
何をすればいい
2023年11月以降の Windows Update が入っているか確認してください。例えば Windows 11 Version 23H2 と 22H2 は KB5032190、Windows 10 Version 22H2 と 21H2 は KB5032189 が修正です。知らない相手から届いたショートカットやリンクは開かないでください。ほかの版の番号は公式の案内を確認してください。
やることチェックリスト
- 2023年11月以降の Windows Update を入れる
- 知らない相手のショートカットやリンクを開かないようにする
- Windows 11 は KB5032190 が入っているか見る
用語メモ
- SmartScreen
- ダウンロードしたファイルや開こうとするサイトが危なそうなとき、Windows が警告を出す機能です。
- インターネットショートカット
- ウェブのアドレスなどを開くための .URL という形式のファイルです。
- Windows Update
- Microsoft が Windows の修正を配る仕組みです。
元データ（英語・CISA KEV より）
Microsoft Windows SmartScreen Security Feature Bypass Vulnerability
概要
Microsoft Windows SmartScreen contains a security feature bypass vulnerability that could allow an attacker to bypass Windows Defender SmartScreen checks and their associated prompts.
推奨対応
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.