WindowsシステムやAzureクラウドコンピューティング環境で仮想マシンを作成するためのMicrosoftのネイティブハイパーバイザであるHyper-Vに影響する脆弱性の詳細が明らかになりました。
現在、CVE-2021-28476としてトラックされているこのセキュリティの問題は、深刻度スコアが10点満点中9.9点となっています。
パッチが適用されていないマシンでこの問題を利用すると、ホストのクラッシュ（サービス拒否）や任意のコードの実行が可能になるため、壊滅的な影響を与える可能性があります。
この脆弱性は、Hyper-Vのネットワークスイッチドライバー（vmswitch.sys）にあり、2019年までのWindows 10およびWindows Server 2012に影響するとのことで、2019年8月のビルドで出現し、今年初めの5月にパッチがリリースされたものです。
SafeBreach社の研究者Peleg Hadar氏とGuardicore社のOphir Harpaz氏が、どこに障害があるのか、なぜ悪用可能なのかを説明しています。2人の研究者は共同でこのバグを発見し、マイクロソフト社に非公開で開示しました。
この脆弱性が致命的だったのは、ハイパーバイザのバグ（任意のポインタの参照）と、ゲストとホストの間の通信チャネルが寛容すぎるという設計上の欠陥が組み合わさっていたためです。
CVE-2021-28476のような脆弱性は、共有リソースモデル（パブリッククラウドなど）がもたらすリスクを示しています。実際、インフラを共有している場合、単純なバグであっても、サービス拒否やリモートコードの実行など、壊滅的な結果につながる可能性があります。
ソフトウェアの脆弱性は避けられませんが、これはパブリッククラウドのインフラにも当てはまります。このことからも、すべての卵を一つのバスケットに入れる（あるいはすべてのインスタンスを一つの地域に置く）のではなく、ハイブリッド・クラウド戦略が重要であることがわかります。このようなアプローチは、DoS攻撃シナリオからの回復を容易にし、適切なセグメンテーションにより、リージョンが乗っ取られた場合でも完全な侵害を防ぐことができます。
この問題はAzureサービスでは問題ありませんが、ローカルのHyper-V環境では、パッチが出たときにすべての管理者がWindowsマシンを更新するわけではないため、脆弱性が残っている可能性があります。
Harpaz氏は、企業のネットワーク内のマシンに何年もパッチが適用されないままの脆弱性はよくある問題だと述べています。
代表的な例としては、2017年4月に知られるようになったEternalBlueがあり、発見後その1か月でパッチがリリースされたものの、破壊的なサイバー攻撃であるWannaCryやNotPetyaに活用されました。
“よく知られた脆弱性を未だ持っているWindows Serverは非常に多く、組織内で非常に長い間パッチを当てられずに残っていても、あまり驚きではありません” – Ophir Harpaz
Harpaz氏とHadar氏は、8月4日に開催されるBlack Hatセキュリティカンファレンスにおいて、hAFL1と呼ばれる自社製のファジングプログラムを用いてどのようにして脆弱性を発見したか、その研究内容について発表する予定です。
Comments