Iperius Backupに権限昇格の脆弱性、修正版あり
Windows版Iperius Backup 8.8.3に、権限の低いユーザーが管理者やSYSTEMの権限でコマンドを実行できる脆弱性があり、修正版8.8.9が出ています。バックアップサービスを管理者権限で動かしている環境は、版を確認して更新してください。
急ぎ度: 早めに
CVSS v4は9.3と高く修正版8.8.9も出ていますが、INCIBEの告知では悪用の欄が「No」のため、至急ではなく早めの更新を勧めます。
関係があるか
WindowsでIperius Backup 8.8.3を使い、バックアップサービスを管理者権限で常時動かしている組織が対象です。複数の利用者がログインするPCやサーバーでは、とくに関係が深いでしょう。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Iperius Backup（Windows版、提供元はEnter） | 8.8.3 | 8.8.9 |
確かめ方
- 1Iperius Backupのバージョン情報の画面を開き、8.8.3かどうかを確認します。
- 2バックアップサービスが管理者権限で常時動く設定になっているかを確認します。Windowsのサービスの実行アカウントも手がかりになります。
- 3その端末に、管理者ではないアカウントでログインできる利用者がいるかを洗い出します。
何が起きたか
Windows版のIperius Backup 8.8.3に、権限の低いユーザーが管理者権限やSYSTEM権限でコマンドを実行できてしまう脆弱性があります。2026年11月11日に公表され、修正版も案内されています。
原因は、管理者権限で動く操作画面と、ローカルの低権限ユーザーとの分離が足りないことです。分類はCWE-250で、不要に高い権限でプログラムが動いている状態を指します。
攻撃の流れ
-
1
低権限で端末に入る
攻撃者が、権限の低いアカウントで対象のWindows端末にログインしています。
-
2
標準ダイアログを使う
管理者権限で動くIperius Backupが出すWindows標準のダイアログを操作します。
-
3
権限を引き継ぐ
ダイアログ経由で起動したプログラムが、アプリの高い権限をそのまま引き継ぎます。
-
4
SYSTEMで実行
管理者またはSYSTEMの権限でコマンドが動き、端末を掌握されます。
どう悪用されるか
攻撃者はすでにその端末に、権限の低いアカウントでローカルにログインできている必要があります。ネットワーク越しに直接狙われるタイプではなく、利用者の操作も要りません。さらにバックアップサービスが、管理者権限で常時動く設定になっていることが前提です。
悪用されると、管理者権限またはSYSTEM権限でコマンドが実行され、Windows端末全体が乗っ取られます。バックアップソフトが入る端末は多くのデータを扱うため、被害はその端末の外にも及びえます。
今すぐやること
-
1
導入先を洗い出す
資産台帳や配布ツールの一覧で、Iperius Backupが入っている端末とサーバーを集め、版が8.8.3のものを特定します。
-
2
サービスの実行アカウントを確認する
管理者権限で常時動いているかを調べます。次のコマンドは、名前にIperiusを含むサービスの実行アカウントを表示するだけで、何も変更しません。
Get-CimInstance Win32_Service | Where-Object { $_.Name -like '*Iperius*' -or $_.DisplayName -like '*Iperius*' } | Select-Object Name, StartName, State -
3
8.8.9に更新する
提供元によると、8.8.9はサービスの導入時に設定フォルダーへ制限の強い権限を既定で与え、管理者以外がバックアップジョブを作成・変更・実行できないようにします。更新後は、この権限が実際に効いているかを確認します。既存の環境に自動で適用されるのか、サービスの入れ直しが要るのかは、Iperius Backup 8.8.9の変更履歴で確かめてください。8.8.3以外の版が対象かどうかも、同じ変更履歴とベンダーの告知で確認します。
-
4
不審なジョブとアカウントを調べる
公表から日が浅く、悪用は確認されていない扱いです。念のため、見覚えのないバックアップジョブや、管理者グループに加わった覚えのないアカウントがないかを見ます。
すぐ更新できないとき
提供元の告知に、修正版以外の回避策は書かれていません。更新までのつなぎとして、低権限のユーザーが対象の端末にログインできないよう制限し、不要なローカルアカウントを整理してください。
背景
Iperius Backupは、Windows向けのバックアップソフトです。バックアップは端末内のあらゆるファイルを読む必要があるため、サービスを管理者権限で常時動かす運用が多くなります。操作画面まで同じ高い権限で動くと、画面が出すダイアログの一つ一つが、低権限ユーザーにとっての入口になりえます。
今回のCWE-250は、必要以上に高い権限で動かしていることを問題にする分類です。提供元の修正が、プログラムの仕組みを大きく変えるのではなく、設定フォルダーの権限を既定で絞る方向であることも、この性質を表しています。
よくある質問
Q.CVSS v4は9.3なのに、INCIBEが「High」としているのはなぜですか。
Q.この脆弱性はだれが見つけましたか。
まだ分かっていないこと
- 8.8.3より新しく8.8.9より前の版や、8.8.3より古い版が影響を受けるかどうかは、告知に書かれていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Local privilege escalation vulnerability in Iperius Backup 8.8.3, due to insufficient separation between the graphical user interface running with elevated privileges and local users with low privileges. When the backup service is configured to run persistently with Administrator privileges, a local attacker with low privileges can use the native Windows dialogues exposed by the application to run programmes that inherit its elevated context. This allows commands to be executed with SYSTEM or Administrator privileges, depending on the application’s context, and compromises the affected Windows system.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web cve-coordination@incibe.es
- web nvd.nist.gov
- web github.com