Windowsの内部で使われているログ管理の仕組み「Common Log File System(CLFS)」のドライバーに、パソコンの最高権限である「SYSTEM」を奪えるとされる欠陥があるとして、攻撃の実証コード(PoC)が今週公開されました。コードには「SignDrop」という名前が付けられています。
報じられている内容によると、問題の入り口は、昨年CLFSドライバー(clfs.sys)に追加されたログの認証機能です。この機能が関連ファイルを作る際の扱いに隙があり、すでにそのパソコンにログインしている一般ユーザーが、権限を一気に引き上げられると主張されています。このように、低い権限から高い権限へ格上げされる欠陥を「権限昇格」と呼びます。
今回のようなセキュリティホールは、それだけで外部からパソコンに侵入できるものではありません。ただ、メールの添付ファイルなどで入り込んだマルウェアが、この欠陥と組み合わさると、セキュリティソフトの停止や情報の窃取といった、本来なら許されない操作が可能になるおそれがあります。実際、CLFSの欠陥は過去にもランサムウェア(身代金要求型ウイルス)の攻撃で悪用されてきました。
報道の時点では、攻撃コードが先に出回った、修正パッチがまだ存在しない状態の「ゼロデイ」とされています。一般の利用者ができる対策は、不審なファイルを開かない、普段は管理者権限のないアカウントで使う、そしてMicrosoftから修正が出たらすぐWindows Updateを適用する、という基本の徹底です。企業の管理者は、Microsoftの公式情報を確認し、監視体制を強化しておくと安心です。