Reboot Restore Standardに脆弱性、修正版は未公開
Horizon DataSys Reboot Restore Standardの13.2までに、ローカル環境から悪用できるメモリ破壊の脆弱性が見つかり、検証コードも公開されています。学校や共有PCで使う組織は導入状況を確認し、修正版が出るまで端末の利用者を絞ってください。
急ぎ度: 早めに
CVSS v3は8.8、v4は9.3と高く、検証コードが公開済みなのに修正版が未公開ですが、悪用にはローカルでのアクセスが必要なため、至急ではなく早めの対応と見ています。
関係があるか
Reboot Restore Standardを導入した端末を持つ組織が対象です。とくに、学校・図書館・貸出PCなど、不特定または多数の人がログインできる共有端末で使っている場合は注意が必要です。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Horizon DataSys Reboot Restore Standard | 13.2まで | 未公開（次のリリースで修正予定） |
確かめ方
- 1資産管理ツールやソフトウェア一覧で、Reboot Restore Standardが入っている端末と版を洗い出します。
- 2端末上では、プログラムの一覧に表示される版が13.2以下かどうかを確認します。
- 3Kernel Driverの有無は、管理者権限のコマンドプロンプトで
driverquery /v | findstr /i shieldを実行すると目安になります。 - 4Standard以外のエディションが影響を受けるかは、ベンダーの告知で確認してください。
何が起きたか
Horizon DataSys Reboot Restore Standardの13.2までに、メモリ破壊を起こせる脆弱性が見つかりました。端末の保護を担うKernel Driverに原因があり、CVSSの評価では機密性・完全性・可用性のすべてに高い影響が出るとされています。
問題があるのは、Kernel Driverのライブラリshield.sysの内部処理です。分類はCWE-119で、メモリ領域の範囲を正しく扱えないタイプの不具合にあたります。
検証コードはGitHub上で公開されています。修正版はまだ出ておらず、ベンダーは次のリリースで修正する予定としています。
攻撃の流れ
-
1
端末にログイン
共有PCなどで、低い権限のアカウントを使えるようになります。
-
2
ドライバーへ働きかけ
Kernel Driverのshield.sysの処理に対して、想定外の操作を行います。
-
3
メモリ破壊が発生
ドライバー内のメモリが壊され、本来の制御が保てなくなります。
-
4
端末全体へ影響
情報の漏えい、改ざん、停止といった被害が端末で起こり得ます。
どう悪用されるか
攻撃はローカル環境からに限られます。ネットワーク越しに直接狙われる脆弱性ではなく、端末にログインできる権限が前提です。ただし必要な権限は低いもので、管理者権限は要りません。利用者の操作を待つ必要もなく、攻撃の複雑さは低いと評価されています。
悪用された場合、端末上の情報が読まれる、書き換えられる、端末が停止するといった被害が考えられます。影響がドライバーの範囲を越えて端末全体に及ぶと評価されているため、共有端末では、利用者のひとりが攻撃の起点になり得る点が問題です。
今すぐやること
-
1
導入端末と版を洗い出す
Reboot Restore Standardが入っている端末を一覧にし、13.2以下の端末を特定します。共有端末を優先して確認してください。
driverquery /v | findstr /i shield -
2
ベンダーの告知を確認する
Horizon DataSysの告知で、修正版の公開時期、ほかのエディションへの影響、回避策の有無を確認します。修正版が出たら、検証端末で動作を確かめたうえで全端末に更新します。
-
3
ログインできる利用者を見直す
修正版が出るまでの間、対象端末にログインできるアカウントと、端末を使える人の範囲を必要最小限にします。
-
4
不審な動きがないか見る
検証コードが公開されているため、対象端末で不審なクラッシュや再起動、権限の変化がないかをイベントログなどで確認します。
修正版がないあいだのつなぎ
修正版が出るまでは、対象端末へのログインを許可する利用者を絞り、管理されていないアカウントや使っていないアカウントを無効にします。不特定多数が使う端末は、機密情報を扱うネットワークから分離しておくと被害の広がりを抑えられます。製品の無効化や削除は端末の保護機能を失うため、ベンダーに手順を確認してから判断してください。
背景
Reboot Restore Standardは、再起動のたびにPCを決まった状態へ戻すことで、共有端末の設定やデータの変化を防ぐ製品です。学校の教室や図書館の利用者向けPCなど、利用者に自由に触らせる端末に入れられる性格のソフトです。
この種の製品は、OSの深い部分で動くKernel Driverで保護をかけます。ドライバーのメモリ破壊は、低い権限のユーザーが端末全体を操作できる状態につながりやすい種類の脆弱性です。今回はローカル限定ですが、利用者自身が攻撃者になり得る共有端末が主な導入先なので、この前提条件が守りになりにくい点が特徴です。
よくある質問
Q.再起動で元の状態に戻る端末でも、対策は必要ですか。
Q.修正版が出るまでに、Reboot Restore Standardを外したほうがよいですか。
まだ分かっていないこと
- 修正版の版番号と公開日は、次のリリースで修正する予定とだけ記されており、具体的には示されていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
A vulnerability was identified in Horizon DataSys Reboot Restore Standard up to 13.2. The impacted element is the function sub_23908 in the library shield.sys of the component Kernel Driver. Such manipulation leads to memory corruption. The attack can only be performed from a local environment. The exploit is publicly available and might be used. A fix is planned for the upcoming release.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web cna@vuldb.com
- web cna@vuldb.com
- web cna@vuldb.com
- web cna@vuldb.com
- web cna@vuldb.com
- web nvd.nist.gov
- web github.com