Windowsカーネルドライバーの重大じゅうだいな脆弱ぜいじゃく性せいに警戒けいかいを ～JVNが注意ちゅうい喚起かんき

脆弱ぜいじゃく性せいレポート「JVNTA#90371415」

　脆弱ぜいじゃく性せいポータルサイト「JVN」は4月がつ23日にち、脆弱ぜいじゃく性せいレポート「JVNTA#90371415」を公開こうかいした。IOCTLインタフェースを実装じっそうしたWindowsカーネルドライバーで、アクセス制御せいぎょ不備ふびの脆弱ぜいじゃく性せいが報告ほうこくされているという。

　「IOCTL」（I/O制御せいぎょコード）は、ユーザーモードのアプリケーションとドライバー間あいだの通信つうしん、またはスタック内ないのドライバー間あいだの内部ないぶ通信つうしんに使用しようされる仕組しくみ。とくにカーネルモードで動作どうさするグラフィックスドライバーなどはシステムのすべてのリソースにアクセスできる高たかい権限けんげんを持もつため、アクセス権限けんげんや入力にゅうりょくデータの検証けんしょうを適切てきせつに行おこなわないと、大おおきなセキュリティ問題もんだいにつながる恐おそれがある。

　「VMware Carbon Black」の脅威きょうい分析ぶんせきユニット（Threat Analysis Unit、TAU）が2023年ねん10月がつに公表こうひょうした資料しりょうによると、ファームウェアアクセスを受うけ付つける脆弱ぜいじゃくなドライバーは34に上のぼり、うち6つはカーネルメモリアクセスを許可きょかしている。しかも、これらはいずれも管理かんり者しゃ以外いがいのユーザーがデバイスを完全かんぜんに制御せいぎょすることが可能かのうだという（2023年ねん10月がつの段階だんかいでは具体ぐたい的てきなドライバーの名前なまえは未み公表こうひょう）。

　こうした脆弱ぜいじゃくなドライバーをシステムに持もち込こんで悪用あくようする手法しゅほうは、 BYOVD（Bring Your Own Vulnerable Driver）攻撃こうげき と呼よばれており、EDR（Endpoint Detection and Response、組織そしきで導入どうにゅうされるセキュリティ監視かんしシステム）などに使つかわれるセキュリティ機構きこうの無効むこう化か、ファームウェアレベルでのサービス運用うんよう妨害ぼうがい（DoS）攻撃こうげき、ルートキット（ブートキット）のインストールなどが行おこなわれる可能かのう性せいがある。

　ベンダー側がわの対策たいさくとしては、Microsoftがカーネルドライバーの開発かいはつ者しゃ向むけに公開こうかいしているガイダンスに従したがってドライバーを開発かいはつすることが挙あげられる。ユーザー側がわは、ベンダーのリリースするドライバーのアップデートを忘わすれずに適用てきようしたい。Windowsには脆弱ぜいじゃくなドライバーのブロックリストが備そなわっているので、OSの更新こうしんも重要じゅうようだ。