Corelightの研究者らは、ネットワークにアクセスできる攻撃者が、悪意あるWindows Serverの脆弱性を突き、DFS（分散ファイルシステム）リファラル応答1つで対象システムをクラッシュさせられると公表しました。
この脆弱性は「CVE-2026-70111」として追跡されており、Windows Server 2019、2022、2025が影響を受けます。Corelightが10月13日に公表した情報によると、Microsoftは2026年10月の更新プログラムでこの問題を修正済みです。公表時点で、悪用が確認された形跡はありません。
脆弱性が存在するのは、DFSパスを解決するWindowsカーネルドライバー「mup.sys」です。不正な形式の応答1つでクラッシュを引き起こせますが、攻撃を成立させるには、被害者のシステムを攻撃者が管理するSMBサーバーへ接続させるための、最初の強制（コアーション）手順が必要です。
VulnerabilityScanning Service
Corelightによれば、この脆弱性の悪用に管理者権限や正規のドメインコントローラーへのアクセスは不要です。
Windows Serverのゼロデイ脆弱性
Corelightは、認証強制（authentication coercion）の手法を調べるため、Microsoftのリモートプロシージャコール（RPC）インターフェースとDFS APIをテストしていた際に、この問題を発見しました。
こうした手法を使うと、Windowsシステムに外向きのSMB接続を開始させることができ、NTLM認証が傍受やリレーの標的になるおそれがあります。ところが研究者らは、想定した結果を得る代わりに、DFSリファラル応答のテスト中に予期しないブルースクリーンに遭遇しました。
調査は、UUID 4fc742e0-4a10-11cf-8273-00aa004ae673で識別されるNetDFS管理インターフェースに焦点を当てて進められました。このインターフェースの実行パスでは、mup.sysがドメインコントローラーに対してFSCTL_DFS_GET_REFERRALS要求を発行します。
研究者らは、攻撃者が応答の送信先に影響を及ぼし、応答側のサーバーになりすませることを突き止めました。クラッシュは、Windows Server 2022での11回のテストすべてと、Windows Server 2019での3回のテストすべてで再現されたということです。
攻撃では、攻撃者が不正なSMBサーバーを稼働させ、標的にDFSリファラルを要求させます。不正サーバーが細工したDFS_REFERRAL_V3ペイロードを返すと、その処理中に被害者のカーネルで障害が発生し、サーバー全体が数秒でクラッシュします。
根本的な欠陥は、PktExpandSpecialEntryFromReferral()関数内でのNameListリファラルの処理にあります。
ReferralEntryFlagsフィールドに0x0002フラグが含まれている場合、この関数はExpandedNameOffsetを使ってドメインコントローラー名の位置を特定し、得られたポインターに対してwcslen()を呼び出します。
Corelightによると、以前のWindowsバージョンには、展開された名前に少なくとも1文字が含まれていることを確認するチェックがありましたが、影響を受けるサーバーのビルドにはこの安全策が欠けていました。
このチェック漏れにより、空のWCHAR文字列を指すオフセットが安全でない処理に到達し、カーネルのヌルポインター参照が発生します。Windows 10には必要なチェックが残っているため、研究者らによれば影響を受けません。
自動再起動によって個々の障害は限定的になる可能性がありますが、攻撃を繰り返せばサーバーを使用不能な状態に保つこともできます。ドメインコントローラーに対して同時に攻撃が行われれば、深刻な障害につながるおそれがあります。
管理者は、予期しないシャットダウンを示すシステムイベントログのID 41や6008を確認できる場合があります。ただし、これらのログからは、原因を説明できる有用なミニダンプが得られないこともあります。
Corelightは、境界の可視性だけに頼らず、DFSが稼働しているサーバーのパッチ適用を優先し、内部のSMB2トラフィックを監視するよう推奨しています。
検知に関するガイダンスでは、不正な形式の応答を検出するシグネチャと、通信が途絶えたまま突然終了し、その後リセットを受けるセッションを示すZeekの接続情報を組み合わせています。
単一のサーバーに関してS1、RSTR、RSTRHの接続状態が集中している場合は、クラッシュと復旧の一連の流れを示している可能性があります。ただし、それだけでは悪用を確定できません。
Corelightは、同社のFeedに検知シグネチャが含まれていると説明しています。研究者らはまた、DFSは脆弱なドライバーに至る既知の経路の1つにすぎず、今回の調査で検証した以外にも、トリガーとなる経路が存在する可能性があると警告しています。
新たなマルウェアが現れたら、すぐに防御を更新しましょう。16K SOCのデータを活用したTIフィードを統合。
翻訳元: https://gbhackers.com/windows-server-zero-day-flaw/
