Windowsへのダウングレード攻撃可能にするゼロデイにPoCエクスプロイトが登場：CVE-2024-38202、CVE-2024-21302

8月21日：サイバーセキュリティ関連ニュース

Windowsへのダウングレード攻撃可能にするゼロデイにPoCエクスプロイトが登場：CVE-2024-38202、CVE-2024-21302

Securityonline[.]info – August 19, 2024

Windowsシステムへのダウングレード攻撃を可能にするゼロデイ脆弱性CVE-2024-38202およびCVE-2024-21302のPoCエクスプロイトコードを、SafeBreachが公開。両脆弱性は、最近開催されたBlack Hat 2024で同社の研究者により報告され、大きな話題を呼んでいた。

CVE-2024-38202はWindows Update スタックにおける特権昇格の脆弱性で、CVE-2024-21302はWindowsセキュアカーネルモードにおける特権昇格の脆弱性。両者を使ったダウングレード攻撃により、完全にアップデートされた状態のWindows 10、Windows 11、Windows Serverシステムの「パッチを解除」して、修正されていたはずの古い脆弱性を再び呼び戻すことが可能になるとされる。今回SafeBreachの研究者らは、これらの脆弱性を悪用してWindows Updateプロセスを乗っ取り、カスタムダウングレード攻撃を作成できるツール「Windows Downdate」をリリースし、GitHub上で公開。また、詳細な解説を記したブログ記事もすでに公開されている。

マイクロソフトは、現時点までにこれらのゼロデイを実際の攻撃で悪用しようとする試みは報告されていないと述べているが、PoCコードと技術的詳細がリリースされたことで、攻撃者が悪用を試行し始めるリスクは高まっている。利用者には、マイクロソフトが提供している緩和策を速やかに実施することが推奨される。

新マルウェアMsupedge投下する攻撃で、PHPのRCE脆弱性が悪用されていた可能性：CVE-2024-4577

BleepingComputer – August 20, 2024 

新たに発見されたバックドアマルウェア「Msupedge」が、台湾の大学のWindowsシステムに展開されていたとの報道。この攻撃では、今年6月に修正されたPHPのRCE脆弱性CVE-2024-4577が悪用された可能性が高いという。攻撃者が何者なのかはわかっていない。

被害大学への攻撃に使われたバックドアMsupedgeの特筆すべき性能は、C2サーバーとの通信にDNSトラフィックを使用する点。DNSトンネリングを利用することで、DNSクエリおよび応答の中にエンコードされたデータを埋め込み、C2サーバーからコマンドを受け取るという。この手法は、多くの脅威グループに採用されるものではあるが、実際の攻撃で観測されるケースはあまり多くないとされる。同バックドアは、プロセスの作成、ファイルのダウンロード、一時ファイルの管理など複数のコマンドをサポートしている。

このインシデントについて報告したシマンテックは、攻撃者は同大学のシステムを侵害するにあたってPHPの脆弱性CVE-2024-4577を悪用していた可能性が高いと考えている。CVE-2024-4577は重大なCGI引数インジェクションの脆弱性で、特定条件下で悪用された場合は認証されていない攻撃者によるリモートコード実行をも可能にし得るもので、Windows OSにインストールされたPHPに影響を与える。シマンテックによれば、ここ数週間の間に、複数の脅威アクターが脆弱なシステムを探すためのスキャン行為を行なっていたという。なお、先月には日本国内の複数組織においてもこの脆弱性が悪用され、システムにWebシェルが設置されていたとの報告が上がっていた。