バーミンガム大学とダラム大学の研究者らが、対象マシンを物理的に開けたり改造したりすることなく、Windows 11の最も強固な防御機能の一部を無効化する手法を発見しました。この攻撃は、攻撃者がすでにシステムへの特権アクセスを獲得していることを前提としています。
誰の要求かをまったく確認しないチップ
この攻撃は「Download More RAM」と名付けられており、ほとんどのデスクトップPCやノートPCに搭載されているRAMスティック、すなわちDual In-line Memory Modules(DIMM)に存在する小型の設定チップを狙います。このチップには、メモリモジュールの容量や構成といった情報が格納されています。一部のコンシューマー向けメモリモジュールでは、この情報の重要な部分をソフトウェアが書き換えることを阻止する仕組みが一切存在しません。
Download More RAMの概要(出典: 研究論文)
この情報を書き換えられた攻撃者は、マシンに実際よりも多くのメモリが搭載されていると誤認させることができます。追加されたアドレスは新たな物理RAMに対応しているわけではなく、一部はすでに使用中のメモリにエイリアスされ、WindowsやプロセッサーがoAが通常強制する分離を回避するアクセスを可能にしてしまいます。
「我々の研究は、すべてのプロセスが同じメモリを共有しているという事実を突いて、Windowsの最強のセキュリティ保証を回避するものです」と、バーミンガム大学のサイバーセキュリティ教授であるTom Chothia氏は述べています。「この種の従来の攻撃には、ドライバーとマシンへの物理アクセスが必要でした。今回はスクリプト一つで済みます。これにより、誰が攻撃を実行できるか、そしてどこまで拡散し得るかが変わってきます」
メモリエイリアシングからセキュリティ回避へ
メモリエイリアシングを設定すると、研究チームはWindowsがアクセスを禁じるよう設計された領域、オペレーティングシステム自体が触れてはならないメモリまで到達できることを実証しました。このメモリエイリアスを作成することで、攻撃者が以下を行える可能性があることを研究者らは示しました。
- 既知の脆弱性を持つブロックリスト登録済みドライバー(マルウェアやランサムウェアと関連付けられていたドライバーを含む)数百個の再有効化
- アンチウイルスおよびエンドポイント検出・対応(EDR)ソフトウェアの停止(通常は活動を監視し攻撃を検知するツールの無効化)
- Virtualisation-based Security(VBS)エンクレーブへの侵入と、本来マシンの他部分から分離されているはずのデータの抜き取り
- エンタープライズや大学管理下のマシンで使われるグループポリシー制限を含む、企業のデバイス管理ルールの回避
- ゲーム内のカーネルレベルのアンチチート保護のすり抜け
この脆弱性は、Microsoftがすでに管理者レベルの権限を持つ攻撃者に対してもセキュリティ境界を維持するために構築した2つの防御機能、VBSとHypervisor-Enforced Code Integrity(HVCI)にまで及びます。
「RAMの設定不備は元々は信頼性の問題でしたが、今回の攻撃は、ベンダーにとって悪用経路が明確でない場合であっても、安全機能を導入・検証することの重要性を示しています」と、筆頭著者のSam Collins氏は述べています。「今回のシナリオでは、Microsoft VBSは自らが立脚する不安定な基盤を無条件に信頼していました」
研究チームはさらに、この攻撃チェーンを自動で一連実行するスクリプトも作成しました。メモリのエイリアシング、再起動、アンチウイルスの無効化まで、ユーザーによるそれ以上のクリックやプロンプト操作を一切必要とせずに完結します。この自動化により、攻撃者がひとたび必要な特権アクセスを獲得すれば、この手法をより容易に展開できるようになる可能性があります。
「Windowsは、たとえ管理者権限を持つ攻撃者であってもセキュアカーネルには手を出せないという強い約束をしています」と、バーミンガム大学の助教授であるMarius Muench氏は指摘しています。「我々が発見したのは、その約束がメモリが自分自身について正直に申告しているという前提の上に成り立っているという事実です。市販されているメモリの多くでは、その前提が成り立つ必要すらありません」
影響を受けるメモリの範囲
研究チームは主要なDDR4およびDDR5モジュールを調査した結果、複数のベンダーが少なくとも一つの製品ラインについて、設定チップに書き込み保護を一切かけずに出荷していることを発見しました。これはJoint Electron Device Engineering Council(JEDEC)のガイドラインに反していると研究者らは指摘しています。
研究者らの推計によると、これらの製品ラインは高性能コンシューマー向けメモリ市場の半分以上、ゲーミング向けセグメントでは70%以上を占めています。他のベンダーの一部モジュールは部分的な書き込み保護を採用しており、これによって攻撃を防ぐことができました。
この脆弱性は特定の製造元に限った問題ではなく、メモリモジュールというレベルに存在するものです。自身のハードウェアを確認する購入者は、ブランド名だけで影響の有無を判断するのではなく、自分が使用している具体的なモデルの書き込み保護状況を調べるべきです。
今回の開示は協調的な手続きを経て行われ、影響を受けるベンダーには公表前に技術的な詳細が伝えられました。Microsoftはこの研究を認め、CVE-2026-23670を割り当てた上で、2026年4月のセキュリティ更新プログラムで緩和策を提供しました。
研究者らによると、Secure Bootを有効にしているマシンは現行形態のこの攻撃から保護されています。一方、Secure Bootを有効にしていないマシンは実証された手法に対して依然として脆弱であり、対応している環境ではSecure Bootを重要な基本的緩和策として位置付けるべきといえます。
翻訳元: https://www.helpnetsecurity.com/2026/08/17/windows-11-security-bypass-research/
