Microsoft WinDbg の脆弱性 CVE-2025-24043 が FIX：暗号署名の不適切な検証と RCE の可能性

WinDbg Vulnerability Allows Attackers to Execute Remote Code

2025/03/10 gbhackers — 先日に Microsoft が公開したのは、デバッグ・ツール WinDbg および、それに関連する .NET パッケージに影響を及ぼす、深刻な脆弱性に関する情報である。その脆弱性 CVE-2025-24043 は、SOS デバッグ・エクステンションにおける暗号署名の不適切な検証に起因し、リモート・コード実行 (RCE) の可能性を引き起こすものだ。

.NET Core プロジェクト内で影響を受けるバージョンとなる、特定の NuGet パッケージを使用している開発者に対して、Github への投稿が推奨するのは、パッチ適用バージョンへの速やかなアップデートである。

脆弱性 CVE-2025-24043 の詳細

この脆弱性は、WinDbg の SOS コンポーネントにおける、暗号署名の不十分な検証に起因する。この脆弱性の悪用に成功した権限のある攻撃者は、ネットワーク経由で悪意のリモート・コード実行を達成する。

このような攻撃により、影響を受けるシステムの機密性／整合性／可用性が損なわれる可能性が生じる。したがって、これらのツールを、開発やデバッグのタスクで利用している組織にとって、重大なリスクがもたらされる。

Microsoft は、脆弱性 CVE-2025-24043 (CVSS v3：7.5) の深刻度を High と評価し、機密性の高いシステムへの潜在的な影響を強調している。CVSS スコアに関連する主要な指標は以下のとおりである：

  • Attack Vector: Network
  • Privileges Required: Low
  • User Interaction: None
  • Confidentiality, Integrity, Availability Impact: High

なお、脆弱性 CVE-2025-24043 の種別は、不適切な暗号検証を示す CWE-347 と一致する。

影響を受ける製品

.NET Core プロジェクトで、これらの NuGet パッケージを使用している組織は、それらを速やかに評価し、必要に応じてアップグレードする必要がある：

  1. dotnet-debugger-extensions
    • Affected versions: < 9.0.607601
    • Patched version: 9.0.607601
  2. dotnet-dump
    • Affected versions: < 9.0.607501
    • Patched version: 9.0.607501
  3. dotnet-sos
    • Affected versions: < 9.0.607501
    • Patched version: 9.0.607501
緩和の手順

Microsoft が、開発者と組織に対して推奨するのは、CVE-2025-24043 の露出を減らすための、速やかな行動である：

  1. NuGet パッケージの更新
    上記のパッチ適用バージョンにより、脆弱なバージョンの dotnet-debugger-extensions／dotnet-dump／dotnet-sos への参照を置き換える。
  2. 最新の WinDbgのインストール
    WinDbg の最新バージョンへの更新が完了していることを確認し、この脆弱性の悪用を防止する。
  3. 依存関係のチェック
    すべてのアプリケーションの依存関係を調査して、脆弱なパッケージ ・バージョンへの参照の有無を確認する。

Microsoft が推奨するのは、secure@microsoft.com への電子メールの送信による、潜在的なセキュリティ問題の報告だ。また、.NET の GitHub における、開発者による質問や懸念事項の提起も可能だ。アドバイザリと報奨金の詳細については、Microsoft .NET 報奨金プログラムにアクセスしてほしい。

このブログでは初登場となる、デバッグ・ツール Microsoft WinDbg に、RCE の脆弱性が発生しています。ご利用のチームは、アップデートおよび緩和策を、ご確認下さい。よろしければ、.NET で検索も、ご参照下さい。