公開されたプルーフオブコンセプト(PoC)リポジトリにより、GenDigital社のAvast Antivirusにおけるローカル権限昇格ゼロデイ脆弱性が明らかになりました。
CVE脆弱性アラート
この脆弱性により、攻撃者はWindows Security Account Manager(SAM)データベースを窃取し、NT AUTHORITY\SYSTEM権限で動作するシェルを起動できます。
このリポジトリの背後にいる研究者、MSNightmare氏によると、この問題はWindows 11 25H2システム上で完全にパッチ適用済みのAvast Antivirusにも影響するとされています。
Avast Antivirusのゼロデイ脆弱性PoC
PrettyPragueという名称のGitHubリポジトリでホストされているこのPoCは、問題の原因をAvast Sandboxコンポーネントの欠陥に帰しています。
リポジトリのREADMEによると、この脆弱性により、ローカルでの実行アクセス権を持つ攻撃者はサンドボックスの昇格権限を悪用し、SAMデータベースを取得した上で完全なSYSTEMレベルのコマンドシェルを得ることができます。
SYSTEM権限での動作は、Windows上で最高レベルのローカル権限を与えます。この脆弱性が検証されれば、攻撃者はエンドポイントセキュリティ製品が本来強制すべき権限境界を回避できることになります。
これにより、通常はオペレーティングシステムを保護するために設計されているアンチウイルスソフトウェアが、完全なローカル乗っ取りを可能にする攻撃経路になり得ます。
Security Account Managerデータベースは、パスワードハッシュを含む機密性の高いローカルアカウントの認証情報を保存しているため、極めて重要です。SAMハイブへのアクセスを許すと、オフラインでのパスワード解析、認証情報の窃取、そして侵害されたローカル管理者権限を利用した組織内での横展開が可能になってしまいます。
MSNightmare氏のREADMEによれば、このPoCは「Avast Antivirusのあらゆるバージョン」に対応しており、パッチ適用済みのAvastおよびWindows 11 25H2の組み合わせでテストに成功しているとのことです。
このリポジトリは8月30日に最終更新されており、C言語およびC++のソースコード、Visual Studioプロジェクトファイル、ヘッダーファイル、コンパイル済みのx64リリースディレクトリ、そしてoffreg.libライブラリが含まれています。
現時点で、このGitHubプロジェクトには正式なリリース、CVE識別子、ベンダーによるアドバイザリ、影響を受けるバージョン情報、パッチの詳細は記載されていません。また、この研究者はこの脆弱性がAVGやNortonなど、GenDigital社の他のセキュリティ製品にも影響する可能性があると述べています。
ただし、GenDigital社がどのソフトウェアがどのような条件下で影響を受けるのかを確認するまでは、こうした主張は未検証のままです。
ソースコードとコンパイル済みリリースディレクトリの両方が公開されていることで、防御側にとっての緊急性はさらに高まります。公開されたPoCは研究者による独立した検証を加速させる一方で、すでにWindowsエンドポイントへのローカルアクセスを持つ脅威アクターにとっては攻撃のハードルを下げることにもなります。
報告されている脆弱性は、初期アクセスのための欠陥というよりも、ローカルでの権限昇格の問題であるように見えます。攻撃者はマシン上でコードを実行できる必要があり、これはフィッシング、悪意のあるダウンロード、盗まれたリモートアクセス認証情報、他の脆弱性の悪用、あるいは正規ソフトウェアの悪用などを通じて発生する可能性があります。
CVE脆弱性アラート
セキュリティチームは、Avast関連サービスやサンドボックスコンポーネントから起動される不審な子プロセス、SYSTEM権限下で実行される予期しないコマンドインタープリタ、SAMレジストリハイブへのアクセス、そしてレジストリハイブのダンプファイルが不審に作成されていないかを監視すべきです。
エンドポイントのテレメトリでは、HKLM\SAM、HKLM\SYSTEM、またはレジストリバックアップや認証情報窃取活動に関連する特定のパスへの予期しないアクセスがないか確認する必要があります。
Avastを利用している組織は、導入済みバージョンの棚卸しを行い、ローカル管理者アクセスを制限し、権限のないユーザーがエンドポイント上でバイナリを実行できないようにした上で、ベンダーから提供される緩和策やアップデートを入手次第速やかに適用すべきです。
公式な対応が発表されるまでは、防御側はリポジトリ内の暫定的な主張のみを根拠に、GenDigital社の関連製品が脆弱であると決めつけることは避けるべきです。
SOCを最新の状態に保ち、出現から24時間以内にアクティブなマルウェアやフィッシングに対応しましょう。 ANYRUNを試して早期検知でインシデントを未然に防ぎましょう。
翻訳元: https://gbhackers.com/avast-antivirus-zero-day-poc/
