Windows WinSock の脆弱性 CVE-2023-21768：検証の欠如による権限昇格の恐れ：検証の欠如による権限昇格の恐れ

POC Released for Windows WinSock Ancillary Privilege Escalation Vulnerability

2026/11/02 CyberSecurityNews — Windows WinSock の脆弱性 CVE-2023-21768 の概念実証 (PoC) エクスプロイトが公開され、ローカルアクセス権を持つ攻撃者が SYSTEM 権限を取得する方法が示された。Windows Ancillary Function Driver for WinSock を攻撃経路とするコードを公開したのは、chompie として知られる研究者 Valentina Palmiotti と Ruben Boonen である。完全なエクスプロイトは、脆弱性のある Windows 11 22H2 システムを対象としている。今回公開された PoC は、2023年1月に修正された脆弱性に対するものであり、新たに公表された Windows の脆弱性ではない。2023年3月21日に IBM は、両研究者による技術分析を公開している。

この脆弱性 CVE-2023-21768 (CVSS 7.8) の悪用には、低いレベルのローカル権限が必要であり、ユーザーによる操作は不要だが、インターネット経由でコンピュータに直接侵入する手段にはならない。この脆弱性が存在するのは、WinSock ネットワークインターフェイスからのリクエストを処理する、Windows カーネルドライバ “afd.sys” である。

IBM の技術分析によると、研究者は Microsoft による修正内容を把握するために、2022年12月版と 2023年1月版のドライバを比較した。変更が確認されたのは “AfdNotifyRemoveIoCompletion” 関数のみであり、これにより調査対象を絞り込むことができた。

修正前のコードでは、ユーザー・アプリケーションから渡されるメモリポインタが検証されていなかった。この検証の欠如により、ローカルの攻撃者は、Windows が機密性の高いシステムデータを格納するカーネルメモリへの書き込みが可能だった。

Microsoft が更新したコードに対する追加の検証は、ユーザー・モードから渡されたポインタが、保護されたカーネル・アドレスではなく、適切なユーザー空間のメモリを参照していることの確認である。

Windows WinSock Ancillary の脆弱性に対する PoC

研究者によると、このドライバを扱った経験がなかったにもかかわらず、約 1日で脆弱性の原因を特定し、再現した上で、実際に動作するエクスプロイトを開発できたという。

この調査結果が示すのは、修正済みと未修正のソフトウェアを比較することで、短期間で攻撃コードを開発するための、十分な情報を取得できることだ。

公開されている GitHub リポジトリでは、このコードが実証用として説明されている。脆弱性のある Windows 11 22H2 環境では、権限昇格までの一連の攻撃が動作する。その一方で、その基盤となるメモリ書き込み機能は、脆弱性のある各種システムで動作する。

これらは別々の主張であり、すべての影響を受ける Windows バージョンで、完全なエクスプロイトが動作することを、このリポジトリは保証していない。限定的なメモリ書き込みから、より広範なシステム制御へと移行するため、このエクスプロイトは Windows の I/O Ring オブジェクトを変更する。これらのオブジェクトは、キューに登録された入出力処理を管理するために使用される。

この手法は Yarden Shafir の研究に基づいており、カーネルメモリの読み取りと書き込みを可能にする。その後に、エクスプロイトは標的プロセスのセキュリティ・トークンを、SYSTEM 権限を持つトークンに置き換える。

さらに IBM は、2023年1月に 360 IceSword Lab が報告している、実際の攻撃で使用されていた別のエクスプロイトを発見した。このエクスプロイトは、研究者が採用したドライバへの直接的なアクセス手法ではなく、”ProcessSocketNotifications” インターフェイスを使用していた。ただし、この報告は、攻撃者が GitHub で公開されたコードを使用したことを示すものではない。

管理者にとって必要なことは、影響を受けるデバイスに Microsoft の修正プログラムもしくは、それ以降の該当する更新プログラムが適用されていることの確認である。IBM の実証コードは HVCI によりブロックされることなく動作しているため、この保護機能をパッチ適用の代替手段とすべきではないことが示されている。

関連する報告には、CVE-2024-38193 の悪用 と CVE-2025-32709 の WinSock ゼロデイ脆弱性がある。いずれも同じドライバに関係しているが、原因と修正プログラムが異なる別個の脆弱性である。

この記事は、オペレーティングシステムである Windows のネットワーク管理コンポーネントに存在する欠陥と、その検証コードについて解説するものです。カーネルドライバにおけるメモリ入力値の検証不足が背景に存在します。影響として、限定的な権限からの最高実行権限の獲得／機密データの不正書き換えが生じる恐れがあります。対応策として、公式のセキュリティ更新プログラムの迅速な適用／該当デバイスにおけるパッチ適用状況の全社的な確認が求められます。