2024 年 12 月の Patch Tuesday に関する Akamai の見解

Windows Remote Desktop は、Remote Desktop Protocol（RDP）を介した Windows マシン間のリモートデスクトップ接続に使用されます。今月は、Windows Remote Desktop のさまざまなコンポーネントにまつわる複数の脆弱性があるため、それらについてまとめて説明します。

主な脆弱性はもちろん、リモート・デスクトップ・サーバーに関する 9 件の重大な RCE の脆弱性です。攻撃者は RDP サーバーに接続し、不正な形式のパケットをスパムとして送信し、競合状態に勝利するだけで、それを RCE に利用できるようになります。

RDP はネットワークでよく使用されており、 ラテラルムーブメント（横方向の移動）に利用され得るため、これに関するポリシールールを作成することをお勧めします。 私たちが調査したところ、 96% のネットワークに Windows RDP トラフィックがあり、20% のネットワークは制限なくそのトラフィックの部分に対処していました。ここで良い面は、ほとんどの CVE が「すべての Windows Remote Desktop サービスに影響を与える」というタイトルになっているにもかかわらず、特にリモート・デスクトップ・ゲートウェイ・ロールを持つサーバーに言及していることです。リモート・デスクトップ・ゲートウェイは、あまり一般的ではなく、私たちが調査したところ、これがある環境は 36% しかありません。

Microsoft Message Queuing（MSMQ）サービスは、 オプション機能 であり、異なるアプリケーション間でメッセージを配信するのに使用されます。オプション機能であるにもかかわらず、Microsoft Exchange サーバーなど、Windows のエンタープライズアプリケーションの多くによってバックグラウンドで使用されています。 当社の調査結果から、このサービスは環境のほぼ 70% において、通常、複数のマシンにインストールされていることがわかりました。

今月、2 件の重大なネットワーク RCE の脆弱性が見つかりました。この脆弱性を利用することで、攻撃者は特別に細工されたパケットを被害者の MSMQ サーバーに送信して、コードをリモートで実行することができます。認証は必要ありません。また、別の DoS の脆弱性もあります。

MSMQ サービスはポート 1801 からアクセスできますが、クライアントの多くはあまりアクセスしないため （主にエンタープライズアプリケーション自体で使用されるため）、 ポート 1801 と MSMQ サービスへの任意のネットワークアクセスを制限することを推奨します。許可リストポリシーを使用してサービスをセグメント化することで、実際に必要なマシンのみにアクセスできるようにしてください。セグメンテーションに関するブログ記事、特に次を参照できます： アプリケーションリングフェンシング と マイクロセグメンテーション セクション（詳細あり）。

Local Security Authority Subsystem Service（LSASS）は、Windows オペレーティングシステムのコアプロセスです。ユーザーモードで、ただし、保護されたプロセスとして実行され、アクセスおよびセキュリティ、つまり、ユーザーログオン、パスワード確認、セキュリティトークン管理の処理を担当します。

攻撃者およびレッドチーマーが使用する典型的な手口は、プロセスのメモリーをダンプして、その中に保存されているユーザーパスワードを入手することでした。 Microsoft はストップをかけました。 プロセスを保護されたプロセスにし、最近では Hyper-V を使用して通常のユーザーモードから分離するなど、ますます多くのセキュリティメカニズムを追加したのです。 それほど重要です。

ログオンを担当するプロセスとして、一部のネットワークコンポーネント、つまり RPC サーバーの形式でも常にリッスンしています。今月の重大な RCE（ CVE-2024-49126）は、これらのコンポーネントの 1 つを中核としています。競合状態の場合、リモート攻撃者は、認証することなくプロセス上で任意のコードを実行できます。

今月の Patch Tuesday で取り上げた CVE の多くは、過去のブログ記事で取り上げたシステムに関するものです。それらのサービスの分析や一般的な推奨事項についてご興味がある方は、これまでの Patch Tuesday に関する Akamai の見解 をご覧ください。

このサマリーでは、現在入手可能な情報に基づいた Akamai の見解と推奨事項について概要を紹介します。Akamai ではレビューを継続的に行っているため、本資料に含まれる情報は変更される可能性があります。リアルタイムの最新情報は、弊社の X（旧 Twitter）アカウントでご確認いただけます。