2021年11月22日（現地時間）、Windowsインストーラーの特権の昇格の脆弱性（CVE-2021-41379）の亜種脆弱性が発見され、完全に修正されていないことが明らかになりました。この脆弱性を利用して攻撃者が自身で管理者権限へ昇格する可能性があります。

情報ソース

脆弱性の対象OS

2021年11月の累積更新プログラムを適用したすべてのOSが対象です。

▼2021年11月の累積更新プログラムは以下の記事を参照してください。

アーザスBlog

 

https://a-zs.net/windowsupdate-202111-b

2021.11.09

[Windows 10・11/Server]2021年11月累積更新プログラム公開!KB5007215、KB5007186...

2021年11月9日(現地時間)、MicrosoftからWindowsの2021年11月の累積更新プログラム（セキュリティ更新プログラム・月例パッチ・「B」リリース・Patch Tuesday）、.NET Frameworkの累積的な更新プログラムが公開されました。Windows 11 version 21H2「KB5007215」、Windows 10 21H1/20H2/2004「KB5007186」、Windows Server 2019「KB5007206」、Windows Server 2016「KB5007192」、Windows Server 2012 R2「KB5007247」、Windows Server 2012「KB5007255」などが含まれています。問題となっていたCVE-2021-26443/CVE-2021-42279/CVE-202...

脆弱性の詳細

CVE-2021-41379のパッチの分析中に発見されたCVE-2021-41379の亜種の脆弱性です。

この脆弱性を利用することにより、Windowsインストーラーを使用することで、攻撃者がグループポリシーを介せずに自身で管理者へ特権昇格が可能になります。

また、実際にこの脆弱性をMicrosoftに報告した研究者のPoC（概念実証）では、グループポリシーによる操作を必要とせずにMicrosoft Edgeの昇格サービス「DACL」を上書き後、管理者特権への昇格に成功したとのことです。

回避策

現在この脆弱性を軽減する回避策は見つかっていません。Microsoftの修正パッチリリースを待ちましょう。

参考情報

ACROS Securityが運営するサービス0patchがMicrosoftよりも早くゼロデイ脆弱性「Windowsのモバイルデバイス管理サービスにおけるローカル特権昇格（LPE）の脆弱性（CVE-2021-24084）」の非公式修正パッチを公開しています。

BetaNews

 

https://betanews.com/2021/11/29/0patch-beats-microsoft-to-fix-serious-local-privilege-escalation-vulnerability-in-windows/

0patch beats Microsoft to fix serious local privilege escalation vulnerabilit...

Once again, micro-patching firm 0patch has beaten Microsoft to the punch, releasing an unofficial patch for a zero-day vulnerability in Windows. This time around we’re talking about CVE-2021-…

MECM(SCCM)を使えば不具合の修正パッチも大量のPCへ同時に適用可能です！

MECMの機能を使えば、1万台もの大量のPCにも同時に修正パッチや更新プログラムを配布、適用させることが可能です。弊社アーザスではMECMの構築から運用までサポートしています。お気軽にご相談下さい！