Microsoft Windows WalletServiceには、ローカルの権限昇格の脆弱性が存在し、CVE-2026-49176として追跡されています。この脆弱性により、認証済みの標準ユーザーがSYSTEMレベルの権限を取得できる可能性があります。
脆弱性評価サービス
この脆弱性は、WalletServiceが初期化時にユーザーが制御可能なファイルパスを扱う方法に起因します。攻撃者はこの仕組みを悪用し、サービスを悪意のある細工が施されたExtensible Storage Engine(ESE)データベースへとリダイレクトさせることで、攻撃者が制御するコールバックDLLを読み込ませることができます。
Windows WalletServiceの脆弱性
研究者のDavid Carliez氏が実証した攻撃チェーンは、低権限ユーザーがディレクトリ構造を作成し、制御下にある場所に細工したESEデータベースを準備するところから始まります。
攻撃者は次に、ユーザーの「ドキュメント」フォルダのパスをこの実行用ディレクトリにリダイレクトさせた上で、一般公開されているWindows Runtime(WinRT)インターフェースを通じてWalletServiceを呼び出します。
注目すべき点として、このプロセスには管理者権限も、権限を持つユーザーによる対話的な承認も、保護されたシステム領域への直接的な変更も必要ありません。
この概念実証では、Windows.ApplicationModel.Wallet.WalletManager.RequestStoreAsync()を呼び出してWalletアイテムストアオブジェクトを取得し、続いてGetItemsAsync()メソッドを呼び出します。
GetItemsAsync()は通常ウォレットのエントリを列挙する処理ですが、研究者らはWalletServiceの初期化を引き起こすにはこれだけで十分であることを発見しました。この起動プロセス中、サービスはバックエンドのデータベースを開きます。そして、通常のアイテム列挙が完了する前に、必須のCardsテーブルにアクセスします。
WalletServiceがリダイレクトされた「ドキュメント」パスを解決し、攻撃者が仕込んだデータベースを開いた場合、その悪意のあるデータベース設定によってサービスにコールバックDLLを読み込ませることができます。
WalletServiceはLocalSystemのセキュリティコンテキストで動作しているため、このDLLはNT AUTHORITY\SYSTEM権限で実行されます。実証された攻撃の最終段階では、取得したSYSTEMアクセストークンをアクティブなデスクトップセッションに転送または複製し、攻撃者が影響を受けたWindowsホストを完全にローカルで制御できるプロセスを起動できるようにします。
この攻撃の設計には、目に見える痕跡を減らし、対象アカウントがリダイレクトされた状態のまま残らないようにするためのクリーンアップ処理も含まれています。
トリガーは「ドキュメント」フォルダの元の場所を記録した上で、一時的に攻撃者が制御する実行用ルートに変更し、finallyブロック内で当初の場所を復元します。この復元処理は、攻撃が成功した場合、失敗した場合、あるいはパッチ適用済みのビルドに対して実行された場合のいずれでも行われます。
CVE-2026-49176は、共有ワークステーション、企業のエンドポイント、仮想デスクトップ、キオスク端末といった環境において特に重大です。こうした環境では、低権限のユーザーアカウントであっても、ローカルアクセスをシステム全体の侵害へとつなげてしまう可能性があるためです。
SYSTEMレベルでのコード実行が可能になると、認証情報の窃取、セキュリティツールの改ざん、永続化の仕込み、横展開の準備、さらには同じデバイス上の他のユーザーに属するデータへのアクセスなどにつながる恐れがあります。
防御側は可能な限り、CVE-2026-49176に対するMicrosoftのセキュリティ更新プログラムの適用を優先し、WalletServiceの機能を公開しているWindowsビルドを使用するシステムの棚卸しを行うべきです。
検知エンジニアリングを担当するチームは、「ドキュメント」フォルダの不審なリダイレクト、WinRTのWallet API呼び出しに続いて発生する異常なWalletServiceの起動、ユーザーが制御可能なパスからの想定外のESEデータベースアクセス、そしてWalletServiceによる非標準ディレクトリからのDLL読み込みを監視する必要があります。
また、エンドポイントのテレメトリでは、対話的なユーザーセッション内でSYSTEMトークンを伴って生成されたプロセス、特にWallet関連のAPI呼び出しやプロファイルパスの変更が先行している場合について、フラグを立てて検知できるようにしておくべきです。
警告: 20を超える政府系サイトが企業や市民にマルウェアを配信していました。 攻撃に関する詳細な調査レポート を確認し、自組織の露出状況をチェックしてください。
アンチマルウェアソフトウェア
翻訳元: https://gbhackers.com/windows-walletservice-flaw/
