Microsoft GDKに遠隔コード実行の脆弱性、修正版あり
Microsoft GDKの2610未満に、認証なしでネットワーク越しにコードを実行されるおそれのある脆弱性が公表されました。ゲーム開発環境を持つ組織は、GDKの版を洗い出して2610へ更新してください。
急ぎ度: 早めに
CVSS v3は9.8と最高クラスですが、Microsoftは悪用も一般への公開も確認しておらず、修正版2610がすでに出ているため、早めに更新すれば間に合う段階です。
関係があるか
Xbox向けやWindows向けのゲーム開発でMicrosoft GDKを使っている組織が対象です。開発用PCだけでなく、ビルドサーバーやCI用のイメージにGDKが入っていれば、そこも含まれます。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Microsoft GDK | 1.0.0.0以上、2610未満 | 2610 |
確かめ方
- 1GDKをインストールした開発用PC、ビルドサーバー、CI用の仮想マシンやコンテナーイメージを洗い出す。
- 2各環境でインストール済みのGDKの版を確認し、2610未満のものを一覧にする。
- 3複数の版を並べて入れている環境では、実際にビルドで使っている版も確認する。
何が起きたか
Xboxに関わる処理にヒープベースのバッファオーバーフローがあり、攻撃者が対象のシステム上でコードを実行できるおそれがあります。
Microsoftは2026年11月10日に公表しました。弱点の種類はCWE-122で、CVSS v3は9.8です。影響する製品としては、Microsoft GDKの1.0.0.0以上2610未満が挙がっています。
Microsoftの説明は「影響を受けるサービス」とあるだけで、GDKのどの部品が該当するかまでは書かれていません。そのため、GDKを使っている組織は、まず版の確認から始めるのが確実です。
攻撃の流れ
-
1
パケットを送る
攻撃者が、特別に細工したパケットをネットワーク経由で対象のサービスに送ります。
-
2
メモリを破壊
サービスが処理する際にヒープ領域であふれが起き、メモリの内容が壊れます。
-
3
コードを実行
攻撃者の用意したコードが、対象システム上で動くおそれがあります。
-
4
システムを掌握
情報の閲覧や改ざん、サービス停止につながるおそれがあります。
どう悪用されるか
認証は不要で、利用者の操作もいりません。Microsoftの説明では、認証なしの攻撃者が細工したパケットをネットワーク経由で送るだけで成立します。ベクターでも、ネットワークから攻撃でき、複雑な条件は要らないとされています。
成功すると、攻撃者は対象システム上でコードを実行できます。機密性、完全性、可用性への影響はいずれも高と評価されており、開発環境にあるソースコードやビルド成果物の漏えい、改ざん、停止が想定されます。
今すぐやること
-
1
GDKの利用環境を洗い出す
開発用PC、ビルドサーバー、CI用のイメージなど、GDKが入っている場所を担当チームに申告してもらい、一覧にします。
-
2
GDKを2610以上に更新する
修正版の2610に更新します。ビルド環境は、個別のPCだけでなくイメージやテンプレートも更新しないと、古い版が再び配られます。
-
3
更新後にビルドと動作を確認する
更新後にビルドが通るか、使っているライブラリに問題がないかを確かめます。版が2610以上になっていることも記録しておきます。
-
4
Microsoftの告知で詳細を確認する
MicrosoftのUpdate Guideにある当該CVEのページで、影響を受けるサービスの詳細や更新情報の追記がないかを確認します。
すぐ更新できないとき
更新まで時間がかかる場合は、GDKを入れた開発用PCやビルドサーバーに、信頼できないネットワークから届かないようにします。たとえば、社内の検証用セグメントに閉じ、不要な外部からの着信を止めます。これは攻撃が届く範囲を狭めるつなぎで、修正版の代わりにはなりません。
背景
Microsoft GDKは、Xbox向けやWindows向けのゲームを開発するためのキットです。これを入れた開発用PCやビルドサーバーには、ゲームのソースコードやビルド成果物が集まります。そこでコードが実行されると、製品そのものが改ざんされる経路にもなりかねません。
今回の弱点はヒープ上のバッファオーバーフローで、ネットワークから受け取ったデータを処理する部分で起きると、遠隔からのコード実行に結びつきやすい種類です。開発用のツールは更新の管理が製品ほど厳しくなく、版が古いまま残りがちです。筆者は、開発環境の版管理が今回の対応の分かれ目になると思っています。
よくある質問
Q.Xbox本体やゲームの配信側も更新が必要ですか。
まだ分かっていないこと
- 影響を受けるサービスがGDKのどの部品にあたるのか、Microsoftは具体名を示していません。
- GDKを標準の設定で入れたとき、問題のサービスがネットワークから届く状態になるのかは、示されていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| MicrosoftMicrosoft GDK |
1.0.0.0 以上 2610 未満→ 2610 |
2610 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Heap-based buffer overflow in Xbox allows an unauthorized attacker to execute code over a network.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web msrc.microsoft.com
- web nvd.nist.gov
- web github.com