TR-VISION HOMEに権限不備の脆弱性、修正版は未確認
rmalright製のTR-VISION HOME 2.0.5で、ドライバーWFanManager.sysの権限設定の不備による脆弱性が公表されました。利用中の組織は端末の版を確認し、不要な端末では削除を検討してください。
急ぎ度: 早めに
CVSS v3は8.8、v4は9.3と高い一方、攻撃は端末上での操作が前提で、KEV掲載の情報はなく、修正版の案内も確認できていないため、早めに利用状況を洗い出して対処を決める段階です。
関係があるか
Windows端末にTR-VISION HOME 2.0.5を入れている個人・組織が対象です。業務用PCに入っていたり、複数人で端末を共用していたりする環境は、とくに確認しておきたいところです。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| rmalright TR-VISION HOME | 2.0.5（コンポーネントはWFanManager.sysのIOCTL Handler） | 修正版は確認できていません |
確かめ方
- 1資産管理ツールやインストール済みソフトの一覧で、TR-VISION HOMEが入っている端末と版を洗い出します。
- 2端末上でドライバーが読み込まれているかは、管理者権限のコマンドプロンプトで
driverquery /v | findstr /i WFanManagerを実行すると確認できます。 - 3版が2.0.5であれば対象です。それ以外の版については、rmalrightの告知で影響の有無を確認してください。
何が起きたか
TR-VISION HOME 2.0.5のドライバーWFanManager.sysに、権限の初期設定が不適切な脆弱性が見つかりました。悪用されると、端末上で本来は許されない操作が実行され、情報の漏えい・改ざん・サービス停止のいずれにも大きな影響が出る恐れがあります。
問題があるのは、WFanManager.sysのIOCTL Handlerにある関数sub_11504です。IOCTLはアプリがドライバーに処理を依頼する入口で、ここの権限設定が甘いと、依頼できる相手が想定より広がります。分類はCWE-276（不適切なデフォルト権限）とCWE-266（不適切な権限の付与）の2つです。
CVSS v3のベクターは、攻撃元が端末上（AV:L）、攻撃の複雑さが低い（AC:L）、必要な権限が低い（PR:L）、利用者の操作が不要（UI:N）、影響範囲が変わる（S:C）です。v4でも、後続のシステムへの影響が高く評価されています。
攻撃の流れ
-
1
端末上で実行
TR-VISION HOME 2.0.5が入った端末で、権限の低いアカウントからプログラムが動きます。
-
2
ドライバーへ依頼
WFanManager.sysのIOCTL Handlerに処理を依頼します。
-
3
権限設定の不備
初期設定の権限が広すぎるため、本来は通らない依頼が受け付けられます。
-
4
端末への影響拡大
権限を超えた操作が実行され、機密性・完全性・可用性に影響が出ます。
どう悪用されるか
攻撃は端末上で行われる前提です。ネットワーク越しに直接狙われるタイプではありません。CVSSのベクターでは、必要な権限は低く、利用者の操作は要らず、複雑な条件もありません。
悪用されると、影響はドライバー単体にとどまらず、端末全体に及ぶ前提で評価されています（スコープの変更）。単独でのリモート攻撃にはなりにくい反面、マルウェアなどで端末の一般ユーザー権限を先に奪われた場合には、権限を引き上げる足がかりになるとみられます。
今すぐやること
-
1
対象端末を洗い出す
資産管理ツールなどでTR-VISION HOMEの有無と版を調べ、2.0.5が入った端末の一覧を作ります。ドライバーの読み込み状況は、右のコマンドで確認できます。
driverquery /v | findstr /i WFanManager -
2
不要な端末から削除する
業務で使っていない端末や、ファン制御などの機能を必要としない端末からは、TR-VISION HOMEを削除します。削除後にWFanManager.sysが残っていないかも確認してください。
-
3
ベンダーの告知を確かめる
rmalrightの公式サイトやサポート窓口で、修正版や回避策の案内が出ていないかを確認します。修正版が出ていると決めつけず、出たときに適用できるよう準備しておきます。
-
4
端末の防御を固める
削除できない端末では、一般ユーザーが任意のプログラムを実行できない設定や、EDRによる不審な権限昇格の監視を有効にしておきます。
修正版がないあいだのつなぎ
修正版が確認できないため、つなぎの対策になります。TR-VISION HOMEが不要な端末では削除し、必要な端末では、共用をやめる、ローカルアカウントを減らす、実行できるプログラムを制限する、といった方法で端末上で低権限の操作をされる機会を減らします。これらで脆弱性そのものが消えるわけではありません。
背景
WFanManager.sysの拡張子.sysはWindowsのドライバーで、OSの中核に近い権限で動きます。ドライバーは、アプリからの依頼を受けるIOCTLの入口を持っています。この入口を誰でも呼べる設定にしていると、一般ユーザー権限で動くプログラムがドライバーの権限を借りて、本来できない操作を行えるようになります。ハードウェア向けの付属ユーティリティのドライバーでは、こうした権限設定の不備が、権限昇格の経路として指摘されることがあります。
今回の脆弱性は、まさにこの入口の既定の権限設定が対象です。TR-VISION HOME自体の用途や配布の実態は、確認できた範囲では詳しく分かりません。そのため、端末ごとに入っているかどうかを自社で調べることが、判断の出発点になります。
よくある質問
Q.CVSS v3が8.8、v4が9.3と、点数が違うのはなぜですか。
まだ分かっていないこと
- ベンダーは公表前の連絡に反応しておらず、修正版や回避策の案内は示されていません。
- 2.0.5以外の版が影響を受けるかどうかは、記録に示されていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
A vulnerability has been found in rmalright TR-VISION HOME 2.0.5. Impacted is the function sub_11504 in the library WFanManager.sys of the component IOCTL Handler. Such manipulation leads to incorrect default permissions. The attack must be carried out locally. The vendor was contacted early about this disclosure but did not respond in any way.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web cna@vuldb.com
- web cna@vuldb.com
- web cna@vuldb.com
- web cna@vuldb.com
- web nvd.nist.gov
- web github.com