Netskope Windows Client の脆弱性 CVE-2025-0309 が FIX：SYSTEM レベルへの権限昇格の可能性

Netskope Windows Client Vulnerability Enables Privilege Escalation via Rogue Server

2025/08/31 gbhackers — Netskope の Windows クライアントに、深刻なセキュリティ脆弱性が発見された。この脆弱性の悪用に成功した攻撃者は、低権限のユーザーから SYSTEM レベルのフルアクセスへと権限を昇格できる。この脆弱性 CVE-2025-0309 が影響を及ぼす範囲は、Netskope Windows クライアントのバージョン R129 未満であり、同社による緊急セキュリティ・アップデートが公開されている。

不正なサーバ・トラストの悪用

この脆弱性は、Netskope クライアントの登録プロセスに起因する。高度な攻撃チェーンにより、このプロセスが操作され得ることを、Amber Wolf のセキュリティ研究者 Richard Warren と David Cash が発見した。

このエクスプロイトは、権限の低いクライアント UI プロセス (stAgentUI) と、SYSTEM 権限で実行される特権サービス (stAgentSvc) との間の、通信を悪用するものだ。

攻撃手順は、以下の通りである：

  1. 不正なサーバ URL を取り込んだ、特別な形式の JSON Web Token (JWT) を、攻撃者は作成する。
  2. この悪意のトークンが、コマンド ID 148 を用いてクライアントの IPC チャネルに送信される。
  3. 特権サービスは、正規の Netskope インフラではなく、攻撃者の偽サーバへのリクエスト送信を開始する。
  4. 不正サーバは、悪意のコンフィグを用いてレスポンスし、不正な証明機関をインストールする。
  5. 侵害された信頼チェーンにより、正規証明書に見えるバックドア付きのソフトウェア・アップデートが配信される。

攻撃者は証明機関を制御しているため、クライアントのセキュリティ・チェックを通過する、不正なソフトウェア・インストーラに署名できる。署名証明書とサーバ・レスポンスを完全に制御できるため、ダイジェスト・チェックなどの組み込み保護機能は回避される。

回避技術がセキュリティを破る

研究者たちが発見したものには、Netskope セキュリティ保護を回避するための複数の手法がある。このクライアントは、IPC 呼び出し元が正当な Netskope プロセスであることを確認する。しかし、攻撃者は “nsdiag.exe” など承認済プロセスにコードを注入し、悪意の IPC 通信のプロキシとして使用することで、この防御を回避できる。

カーネル・レベルのドライバ保護により、Netskope の “Tamper Proof” 機能も突破できる。研究者たちが確立した手法は、サスペンド状態で新たな Netskope プロセスを生成し、システム機能を悪意のコードで上書き後に、実行を再開して攻撃ペイロードをロードするというものだ。

さらに、IPC 通信を暗号化する、新バージョンの Netskope クライアントも安全ではない。この暗号化は、Windows レジストリから容易に取得できる値を、暗号化キーおよび初期化ベクターとして利用しているため、攻撃者による復号や偽造が可能となる。

Netskope が公開したパッチとガイダンス

すでに Netskope は、2025年8月13日の時点で Windows クライアント R129 をリリースし、この深刻な脆弱性に対処している。このバージョンでは、正規 Netskope ドメインのホワイト・リストをハードコードし、不正サーバへの登録を防止している。

また、Netskope は、詳細情報を記したセキュリティ・アドバイザリ NSKPSA-2025-002 を公開している。ユーザー組織に推奨されるのは、R129 へと速やかにアップデートすることだ。

さらに、セキュリティ・チーム向けに、以下の検出方法が提供されている。

  • 信頼されるルートストア内の不審証明書の監視
  • Netskope サービスによる異常 MSI インストールの監視
  • ログ・ファイル内での侵入兆候を示す、予期しないアドオン URL やテナント ID の確認


この脆弱性が浮き彫りにするのは、エンタープライズ・セキュリティ・ソフトウェアに固有の課題である。保護を提供するためには、特権システム・アクセスが必須となるため、攻撃者にとって魅力的な標的となり得る。

この攻撃は、クライアント・アーキテクチャと通信プロトコルに関する、深い知識を要する高度な性質を持つため、一般的なサイバー犯罪者ではなく、APT やセキュリティ研究者の関心を引くと考えられる。

Netskope Windows クライアントに、権限昇格の脆弱性 CVE-2025-0309 が発見されました。原因は、クライアントの登録プロセスにおける、不十分な通信の扱いにあります。低権限の UI プロセスと SYSTEM 権限のサービス間の通信を悪用されると、攻撃者は不正なサーバを信頼させ、証明書のすり替えや不正ソフトのインストールを可能にすると、この記事は指摘しています。よろしければ、Netskope で検索も、ご参照ください。