CISA KEV 警告 24/04/30：Microsoft SmartScreen の脆弱性 CVE-2024-29988：パッチ適用の確認が重要

CISA Catalogs Microsoft’s CVE-2024-29988 as Actively Exploited Vulnerability

2024/04/30 SecurityOnline — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、先日にパッチが適用された Microsoft 脆弱性 CVE-2024-29988 を、Known Exploited Vulnerabilities (KEV) カタログに追加した。つまり、この脆弱性が、すでに脅威アクターたちにより、積極的に悪用されていることが示唆される。

新たなエクスプロイト・チェーンの出現

Microsoft の SmartScreen に存在する脆弱性が、他の既知の脆弱性と組み合わされ、強力な攻撃チェーンを作り出しているため、きわめて危険な状況にあると懸念されている。この攻撃チェーンには、人気の WinRAR アーカイバーにおける脆弱性 CVE-2023-38831 や、Windows がインターネット・ショートカット・ファイルを処理する方法に影響を及ぼす、新たに発見されたゼロデイ脆弱性 CVE-2024-21412 などが含まれる。

攻撃の仕組み

この攻撃は、ユーザーを騙して、特別に細工されたファイルを開かせることから始まる。このファイルの展開には、フィッシング・メールで配信される場合や、危険な Web サイトからダウンロードされる場合がある。WinRAR のケースでは、悪意のファイルが開かれると、ターゲット・システム上で悪意のコードが実行される。その流れの中で、SmartScreen の脆弱性 CVE-2024-29988 が悪用され、信頼できないファイルからユーザーを保護するために設計された、Windows のセキュリティ警告が回避されていく。

パッチはリリースされたが攻撃は継続中だ

2024年4月に Microsoft は、SmartScreen の脆弱性に対するパッチをリリースしている。その一方でセキュリティ専門家たちは、多くの組織においてパッチ適用が遅れていることを懸念している。CISA が KEV カタログに追加するという措置をとった理由は、ここにあると思われる。

CISAが緊急警告を発表

CISA の警告は、連邦政府機関に向けられたものであり、必要とされるパッチを適用する期限は、2024年5月21日までとされている。しかし、これらの悪用がもたらすリスクが深刻であるため、Windows システムを稼動させている全て組織に対しても、CISA は直ちにパッチを適用すべきだと勧告している。

自分自身を守るためにできること

Windowsシ ステムの更新： オペレーティング・システムと、すべてのソフトウェアに対して、最新のセキュリティ更新プログラムが適用されていることを確認する。

予期せぬファイルに注意： 電子メールの添付ファイルや、不明な送信元からのファイルには細心の注意を払ってほしい。正当性が確認できない限り、開かないようにすべきだ。

信頼できるアンチウイルス／セキュリティ・スイートの使用： 優れたセキュリティ・ソリューションは、より一層の保護を提供してくれる。

Microsoft SmartScreen の脆弱性 CVE-2024-29988 ですが、第一報は 2024/04/09 の「Microsoft Windows における２件のゼロデイ：Sophos と ZDI と Google が発見」で、第二報は 2024/04/09 の「Microsoft の脆弱性 CVE-2024-29988：積極的な悪用を ZDI が観測」となっています。そして、今回は CISA KEV に登録され、深刻な悪用が発生していることが確かなものになったわけです。ご注意ください。