2024年12月のPatch Tuesdayに関するAkamaiの見解

Windows Remote Desktopは、Remote Desktop Protocol（RDP）を介したWindowsマシン間のリモートデスクトップ接続に使用されます。今月は、Windows Remote Desktopのさまざまなコンポーネントにまつわる複数の脆弱性があるため、それらについてまとめて説明します。

主な脆弱性はもちろん、リモート・デスクトップ・サーバーに関する 9 件の重大な RCE の脆弱性です。攻撃者はRDPサーバーに接続し、不正な形式のパケットをスパムとして送信し、競合状態に勝利するだけで、それをRCEに利用できるようになります。

RDPはネットワークでよく使用されており、ラテラルムーブメント（横方向の移動）に利用される可能性があるため、これに関するポリシールールを作成することをお勧めします。私たちが調査したところ、96%のネットワークにWindows RDPトラフィックがあり、20%のネットワークは制限なくそのトラフィックの部分に対処していました。ここで良い面は、ほとんどのCVEが「すべてのWindows Remote Desktopサービスに影響を与える」というタイトルになっているにもかかわらず、特にリモート・デスクトップ・ゲートウェイ・ロールを持つサーバーに言及していることです。リモート・デスクトップ・ゲートウェイは、あまり一般的ではなく、私たちが調査したところ、これがある環境は36%しかありませんでした。

Microsoft Message Queuing（MSMQ）サービスは、オプション機能であり、異なるアプリケーション間でメッセージを配信するのに使用されます。オプション機能であるにもかかわらず、Microsoft Exchangeサーバーなど、Windowsのエンタープライズアプリケーションの多くによってバックグラウンドで使用されています。当社の調査結果から、このサービスは環境のほぼ70%において、通常、複数のマシンにインストールされていることがわかりました。

今月、2件の重大なネットワークRCEの脆弱性が見つかりました。この脆弱性を利用することで、攻撃者は特別に細工されたパケットを被害者のMSMQサーバーに送信して、コードをリモートで実行することができます。認証は必要ありません。また、別のDoSの脆弱性もあります。

MSMQサービスはポート1801からアクセスできますが、クライアントの多くはあまりアクセスしないため（主にエンタープライズアプリケーション自体で使用されるため）、ポート1801とMSMQサービスへの任意のネットワークアクセスを制限することを推奨します。許可リストポリシーを使用してサービスをセグメント化することで、実際に必要なマシンのみにアクセスできるようにしてください。セグメンテーションに関するブログ記事をお読みください。特にアプリケーションリングフェンシングとマイクロセグメンテーションのセクションの記事で詳細をご確認いただけます。

Local Security Authority Subsystem Service（LSASS）は、Windowsオペレーティングシステムのコアプロセスです。ユーザーモードで、ただし、保護されたプロセスとして実行され、アクセスおよびセキュリティ、つまり、ユーザーログオン、パスワード確認、セキュリティトークン管理の処理を担当します。

攻撃者およびレッドチーマーが使用する典型的な手口は、プロセスのメモリーをダンプして、その中に保存されているユーザーパスワードを入手することでした。Microsoftはストップをかけました。プロセスを保護されたプロセスにし、最近ではHyper-Vを使用して通常のユーザーモードから分離するなど、ますます多くのセキュリティメカニズムを追加したのです。それほど重要ということです。

ログオンを担当するプロセスとして、一部のネットワークコンポーネント、つまりRPCサーバーの形式でも常にリッスンしています。今月の重大なRCE（CVE-2024-49126）は、これらのコンポーネントの1つを中核としています。競合状態の場合、リモート攻撃者は、認証することなくプロセス上で任意のコードを実行できます。

今月のPatch Tuesdayで取り上げたCVEの多くは、過去のブログ記事で取り上げたシステムに関するものです。それらのサービスの分析や一般的な推奨事項についてご興味がある方は、これまでのPatch Tuesdayに関するAkamaiの見解をご覧ください。

このサマリーでは、現在入手可能な情報に基づいたAkamaiの見解と推奨事項について概要を紹介します。Akamaiではレビューを継続的に行っているため、本資料に含まれる情報は変更される可能性があります。リアルタイムの最新情報は、弊社のX（旧Twitter）アカウントでご確認いただけます。