CVEノート

最近の脆弱性 › CVE-2024-21412

Microsoft Windows の脆弱性（CVE-2024-21412）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号CVE-2024-21412
製品Microsoft Windows
深刻度（CVSS）8.1 重要CVSS v3.1
NVD に登録された、他の機関（開発元など）による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N
KEVへの追加日2024-02-13
米国政府機関の対応期限2024-03-05
ランサムウェアでの悪用悪用が確認されている
弱点の種類（CWE）CWE-693

何が起きた

Windows のインターネットショートカットファイルの扱いに、表示されるはずの安全確認をすり抜けられる弱点が見つかりました。NVD の評価では、攻撃者はネットワーク経由で、ログインなしに悪用できますが、被害者の操作が必要とされています。Microsoft によると、攻撃者は細工したファイルを送り、利用者にそのリンクをクリックさせる必要があります。実際の悪用が確認され、ランサムウェアでの悪用も知られています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が細工したファイルを送る → 2. 利用者がファイルのリンクをクリックする → 3. 表示されるはずの安全確認がすり抜けられる1攻撃者が細工したファイルを送る2利用者がファイルのリンクをクリックする3表示されるはずの安全確認がすり抜けられる攻撃の流れ: 1. 攻撃者が細工したファイルを送る → 2. 利用者がファイルのリンクをクリックする → 3. 表示されるはずの安全確認がすり抜けられる1攻撃者が細工したファイルを送る2利用者がファイルのリンクをクリックする3表示されるはずの安全確認がすり抜けられる

誰が影響を受ける

Windows 10、Windows 11、Windows Server 2019、Windows Server 2022 を使っている人・組織が対象です。対象の版と更新プログラムの一覧は Microsoft のセキュリティ更新プログラムガイドに載っています。

何をすればいい

2024 年 2 月のセキュリティ更新プログラムを適用してください。たとえば Windows 11 は KB5034765、Windows 10 は KB5034763、Windows Server 2022 は KB5034770、Windows Server 2019 は KB5034768 です。知らない相手から届いたファイルやリンクは開かないようにし、あわせて Microsoft の公式の案内を確認してください。

やることチェックリスト

用語メモ

インターネットショートカット
Web ページなどへのリンクを保存した Windows のファイル（拡張子 .url）です。
ランサムウェア
データを暗号化して使えなくし、元に戻す代わりに身代金を求める悪いプログラムです。

元データ（英語・CISA KEV より）

Microsoft Windows Internet Shortcut Files Security Feature Bypass Vulnerability

概要

Microsoft Windows Internet Shortcut Files contains an unspecified vulnerability that allows for a security feature bypass.

推奨対応

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

公式情報