Windows カーネルの脆弱性 CVE-2023-32019：無効から有効に切り替わったパッチとは？

Microsoft enables Windows Kernel CVE-2023-32019 fix for everyone

2023/08/14 BleepingComputer — Microsoft は、Windows カーネルに存在する情報漏えいの脆弱性に対する修正を、デフォルトで ON にするよう方針を変更した。この修正は、Windows に変更を加える可能性があるとして、これまで無効にされていたものだ。この脆弱性 CVE-2023-32019 は、CVSS 値は 4.7 だが、Microsoft は Important と評価している。このバグは、Google Project Zero のセキュリティ研究者 Mateusz Jurczyk により発見されたものであり、認証された攻撃者が特権プロセスのメモリにアクセスし、情報を引き出すことを可能にするものだ。

このバグが悪用された形跡はないとされるが、Microsoft は当初、この修正プログラムを無効にして、セキュリティ更新プログラムをリリースし、Windows OS で変更を引き起こす可能性があると警告していた。

Microsoft は、「この記事で説明されている解決策は、潜在的かつ破壊的変更をもたらす可能性がある。そのため、デフォルトでは、この変更を無効にしてリリースし、有効にするオプションを用意してきた」と説明している。

そのため、Windows ユーザーは、HKEY_LOCAL_MACHINE 下に、以下のレジストリ値を追加して、アップデートを手動で有効にする必要があった：

• Windows 10 20H2／21H2／22H2：4103588492という新しい DWORD レジストリ値を、値データが１で追加する。
• Windows 11 21H2：4204251788 という新しいDWORDレジストリ値を、値データ１で追加する。
• Windows 11 22H2：4237806220 という新しい DWORD レジストリ値、値データ１ で追加する。
• Windows Server 2022：4137142924 という新しい DWORD レジストリ値を、値データ１で追加する。

しかし Microsoft は、この更新プログラムを有効にすることで、どのようなコンフリクトが発生する可能性があるのかについては情報を共有せず、「将来的にはデフォルトで有効になる」とだけ、BleepingComputer に伝えていた。

この不確実性により、多くの Windows 管理者は、Windows のインストールに問題が発生することを恐れ、修正プログラムを導入しなかった。

しかし、Neowin が発見したように、現時点において Microsoft は、2023年8月の Patch Tuesday で、CVE-2023-32019 の修正をデフォルトで有効にしている。

Microsoft は、「この記事で説明されている解決策は、デフォルトで有効化された状態でリリースされた。デフォルトで有効化された解決策を適用するには、2023年8月8日以降の Windows 更新プログラムをインストールしてほしい。これ以外の、ユーザー操作は必要ない」と、サポート速報の更新で説明している。

BleepingComputer は、このアップデートについて、数多くの Windows 管理者に話を聞いたが、この変更を有効にして問題を報告した人はいなかったという。

訳していて、頭が混乱する記事でしたが、「Windows カーネルの脆弱性 CVE-2023-32019 は、すてにパッチが適用されていたが、問題が生じる可能性があったので、デフォルトでは OFF になっていた」。その問題が解決したので、「2023年8月の Patch Tuesday でデフォルト ON にした」という話のようです。したがって、8月の月例パッチがインストールされていれば、問題はないようです。