2024 年 5 月の Patch Tuesday に関する Akamai の見解

CVE-2024-30051 — Windows DWM Core ライブラリ

前述の脆弱性とは異なり、これは Windows Desktop Window Manager（DWM）の権限昇格の脆弱性です。DWM は、画面に表示されるウィンドウを管理する役割を担います。Windows Vista 以降、Windows の一部となっており、dwm.exe プロセスで実装されます。

この脆弱性は、 Kasperskyによって検知されました。そして、トロイの木馬の一種である QakBot を使用したキャンペーンで悪用されたことが確認されています。

Microsoft SharePoint は、他の Microsoft Office 製品と統合された Web ベースのドキュメント管理およびストレージシステムです。今月は CVE が 2 件あります。1 つは CVSS スコア 8.8 の重大なリモートコード実行の脆弱性（CVE-2024-30044）で、もう 1 つは CVSS スコア 6.5 の情報漏えいの脆弱性（CVE-2024-30043）です。

CVE-2024-30044 を悪用するために、攻撃者は少なくとも SiteOwner 権限を持つアカウントを使用して SharePoint サーバーに対する認証を行わなければなりません。認証後、細工したファイルをアップロードし、API リクエストを使用してアクセスする必要があります。これにより、ファイルパラメーターのデシリアライゼーションがトリガーされ、SharePoint サーバープロセスにコードインジェクションが実行されます。MSRC によると、この脆弱性は「悪用される可能性が高い」です。つまり、多数の手順を踏まなければならないにもかかわらず、この脆弱性をトリガーするのは難しくないということです。

CVE-2024-30043 を悪用する場合も、攻撃者は認証を行う必要があります。これにより、攻撃者はサーバー上のファイルコンテンツを取得できるようになります。攻撃者が持つユーザー権限に応じて、アクセスできるファイルの範囲が増大します。

私たちの調査では、約 30% の環境に SharePoint サーバーがインストールされたマシンが少なくとも 1 台あることがわかりました。

SharePoint サーバーは通常、ドキュメント共有に使用されるため、通常の操作に影響を与えることなく、ユーザーアクセスをセグメント化または制限することが困難になる場合があります。したがって、できるだけ早くサーバーにパッチを適用することをお勧めします。

ただし、どちらの CVE も、悪用するためにはユーザー認証が必要であるため、ユーザーアクセスを強化するか、不審なユーザーアクティビティやログオンに対するアラート感度を高めることによって、リスクを多少緩和することができます。