WinFsp(Windows File System Proxy)に新たに発見された競合状態の脆弱性により、ローカル攻撃者が権限をSYSTEMまで昇格させられる可能性があることが判明しました。WinFspは、開発者がWindows上でユーザーモードのファイルシステムを作成できるようにする、広く利用されているオープンソースのフレームワークです。
シンガポールサイバーセキュリティ庁(CSA)は、責任ある脆弱性開示ポリシーの一環としてこの脆弱性にCVE-2026-3006を割り当てており、WinFspプロジェクト側はすでに修正版をリリースしています。
WinFspはWindowsとカスタムファイルシステム実装の間を橋渡しする役割を担っており、SSHFS-Win、rcloneマウント、さらにはリモートストレージや仮想ストレージをWindowsのネイティブドライブとして表示する必要がある各種クラウドストレージクライアントなど、人気のツール群を支えています。
WinFspはカーネルレベルのドライバーを使ってファイルシステムの呼び出しをインターセプトする仕組みで動作しているため、そのコアロジックにひとたび欠陥があれば影響は甚大です。侵害が発生した場合、単一のアプリケーションだけでなく、WinFspを基盤に構築されたあらゆるファイルシステムに波及する恐れがあります。
この脆弱性は、WinFspのカーネルモードドライバー内の競合状態に起因します。適切なタイミング条件下で悪用されると、攻撃者はカーネルヒープオーバーフローを引き起こすことができ、メモリを破損させてローカルでの権限昇格に悪用可能な状態を作り出します。
攻撃が成功すると、攻撃者はWindowsにおける最高位の権限階層であるSYSTEMレベルのアクセス権を取得し、事実上、影響を受けたマシンを完全に制御下に置くことになります。
この種の競合状態は、並行動作するプロセス間の精密なタイミングに依存するため、確実に悪用するのが極めて難しいことで知られています。しかしその一方で、欠陥のあるロジックは特定の実行順序でのみ表面化するため、コードレビューだけで完全に排除するのも同様に困難です。
CSAは、攻撃者がいったん安定した再現手順を見つけてしまえば、その見返り(SYSTEM権限の取得)の大きさゆえに好んで使われる手法になると確認しています。
WinFspのバージョン2.1.25156以前はすべて、この脆弱性の影響を受けます。
CSAおよびWinFspのメンテナーは、修正版への即時アップグレードを強く呼びかけています。修正版はGitHubから入手可能です。
WinFsp依存のツールを利用している組織や個人ユーザーは、インストール済みのドライバーバージョンを確認し、できるだけ早く更新を適用する必要があります。特に、権限の低いユーザーによるローカルアクセスが現実的な脅威となり得るマルチユーザーシステムやエンドポイントでは注意が必要です。
ローカル権限昇格の不具合は、実際の攻撃において初期侵入の脆弱性と組み合わせて悪用されるケースが頻繁に見られます。フィッシングやWebエクスプロイトによって足場を築かれた後、こうした欠陥が悪用されれば、SYSTEM権限の完全な掌握につながりかねません。
WinFspは、クラウドストレージやリモートストレージのマウントに用いる開発者向け・企業向けツールとして高い人気を誇ることを踏まえ、セキュリティチームはこの修正パッチを急務として扱うとともに、WinFspのコンポーネントを組み込んだサードパーティ製ソフトウェアについても監査すべきです。こうしたソフトウェアは、コアドライバー本体とは別に更新が必要になる場合があります。
翻訳元: https://cyberpress.org/winfsp-race-condition-flaw/