セキュリティ
業界共通の「悪夢」
不満を抱えたセキュリティ研究者として知られるNightmare Eclipse(別名Chaotic Eclipse、Infinite Nightmare、そして今回新たにMSNightmareとも名乗る人物)が、これまでのマイクロソフト一社に対する執拗な攻勢から他のベンダーへと矛先を広げつつあります。木曜日、同氏はCrowdStrikeのエンドポイントセキュリティプラットフォーム「Falcon」に影響を及ぼす新たなゼロデイ脆弱性「FalconFlank」を公開しました。Windowsとの関連も指摘されています。
この多作なゼロデイハンターによると、FalconFlankはCrowdStrike Falconに搭載されているMicrosoft Officeの悪意あるマクロ修復機能を悪用する権限昇格の脆弱性です。この自動化されたセキュリティ機能はプラットフォームに組み込まれており、Microsoft Officeの文書ファイルを検査します。潜在的に有害なマクロを検知すると、この機能は疑わしいコードを除去し、ユーザーが文書を開いた際に悪意あるコードや危険なペイロードが実行されるのを防ぐことを目的としています。
「我々はこの主張について現在積極的に調査を進めており、お客様にはMicrosoft Office File Suspicious Macro Removal WindowsポリシーのDisable(無効化)設定を推奨しています」と、CrowdStrikeの広報担当者はThe Registerに語りました。「お客様はMicrosoft Officeファイル向けのクラウド型アンチマルウェア設定によって引き続き保護されています。詳細についてはCrowdStrikeサポートポータル内のFalconFlank Tech Alertをご参照いただくようお客様にご案内しています」
この実証コード(PoC)は、Phase 3 – Optimal Protectionおよび悪意あるマクロ除去機能を有効にしたCrowdStrike Falconを稼働させた、完全に更新済みのWindows 11 25H2およびWindows Server 2025システム上で動作すると、Nightmare EclipseはGitHubのREADMEで述べています。「当然ながら、これを公開する頃にはCrowdStrikeはすでに検知シグネチャを用意しているはずなので、テストしたい場合は除外リストに追加するか、PoCを難読化してDLLロードの手法を変更する必要があるだろう」と同氏は記しています。
セキュリティ研究者のKevin Beaumont氏は、このエクスプロイトが実際に機能することを、この1週間でNightmareが公開した他の複数のエクスプロイトとあわせて確認しました。Beaumont氏は、Nightmareがマイクロソフト以外のゼロデイ脆弱性にも手を広げ始めたことについて、驚きはないと私たちに語りました。
「エンドポイントセキュリティ分野全体で、セキュリティ製品自体のセキュリティ品質という点で問題を抱えているのが実情なので、他のベンダーにも広げていくのはある意味理にかなっている」とBeaumont氏はThe Registerに語りました。「これを機に、サイバーセキュリティベンダー各社が本気を出し、実現していないAI攻撃を誇張するのをやめて、代わりに自社製品を顧客のために本当に安全なものにしてくれることを願っている」
FalconFlankは、Nightmareがここ数日で発見・公開してきた各種エンドポイント製品やアンチウイルス製品の一連の脆弱性に続くものです。その中には、KasperskyのエンドポイントアンチウイルスCITY製品における権限昇格の脆弱性「HardBreacher」も含まれています。
「つまり、この問題はもはやマイクロソフトの外にも広がりつつあるということだ」と、Nightmareは先週HardBreacherのPoCを公開した際に述べています。「家庭向け版か商用版のどちらで脆弱性を探すか投票を行ったところ、結果は商用版だった。この記事の執筆時点で、実証コードは完全にパッチが適用されたWindows 11 25H2およびKaspersky for Endpoint v14.0.0.504上で動作する」
Beaumont氏は、NightmareのHardBreacherエクスプロイトコードが実際に機能することも確認しており、同様にGen DigitalのアンチウイルスソフトウェアAvastにおける権限昇格の脆弱性のPoCについても動作を確認しています。このゼロデイ脆弱性はPrettyPragueと名付けられており、研究者によれば「Avast Sandboxの脆弱性を悪用してSAMデータベースをダンプし、完全なSYSTEM権限のシェルを起動する」ものだといいます。
「Genは最近、AvastアンチウイルスをはじめとするGen製品の一部に影響を及ぼすセキュリティ脆弱性を認識しました。この脆弱性により、攻撃者がシステム権限を昇格させる可能性があります」と、Gen DigitalはThe Registerに語りました。
「当社は直ちにセキュリティ対応手続きを開始し、現在パッチの開発を積極的に進めています。当社はあらゆるセキュリティ問題を重大なものと捉えており、この問題に迅速に対処することをお約束します」
KasperskyはThe Registerからのコメント要請に対し、即座には返答しませんでした。
Nightmareはまた最近、「GreenSection」と名付けられたNvidiaのメモリ破損ゼロデイ脆弱性も公開していますが、Beaumont氏によれば、こちらはシステムをクラッシュさせるだけのものだといいます。Nvidiaは私たちの問い合わせに応じませんでした。®
