SIGRed（CVE-2020-1350）WindowsDNSサーバーのRCE脆弱性について
Microsoft Security Response Centerより「Windows DNS サーバの脆弱性情報 CVE-2020-1350 に関する注意喚起」が発行されました。
当該脆弱性については、報告元であるCheck Pointより、SIGRedと命名されています。
CVSSにて基本スコア10.0となっている当該脆弱性について、海外のブログやWebニュースでも広く取り上げられていたので、本記事でもまとめてみます。
目次
影響を受ける製品とその影響
当該脆弱性CVE-2020-1350はMicrosoft製のDNSサーバにおける実装に起因するため、すべてのバージョンのWindows Server(Windows Server2003～2019など)が影響を受けるとのことです。
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2020-1350
脆弱性を悪用することで、遠隔の第三者によりWindows DNSサーバが制御されてしまう可能性があります。
現時点で、悪用は確認されていないとのことですが、DNSサーバの脆弱性という特性上、2017年に大きな被害をもたらしたWannacryのように組織内で感染を広げるワームへの利用が懸念されています。
脆弱性を悪用することで、特にActive Directory環境におけるドメインコントローラーの特定をし、さらには管理者権限の奪取を行うことで、 マルウェア感染をはじめとしたさまざまな被害をもたらす可能性があります。
真偽は定かではないものの、先日のホンダへのサイバー攻撃についても、ランサムウェアSNAKEが実行された背景にドメインコントローラーの管理者権限が奪われていた可能性を指摘している記事も見当たります。
ホンダへのサイバー攻撃については、以下のリンクも併せてご参照ください。
また、Active Directoryを狙ったサイバー攻撃の検知および対策について、 JPCERT/CCからも資料が公開されているので、こちらも併せてご確認されるとよいかと思います。
CheckPointの報告ブログの記載には、パブリックDNSサーバにWindows DNSサーバを利用しているISP事業者が存在することについても言及しており、早急なパッチ適用を呼び掛けています。
脆弱性の対応策
脆弱性の対応策として、まず、セキュリティ更新プログラムの適応が推奨されています。
https://portal.msrc.microsoft.com/ja-jp/security-guidance/releasenotedetail/2020-Jul
更新プログラムが適応できない場合には、サーバの再起動を伴わない回避策KB4569509の適応を推奨されています。
この回避策はレジストリの変更を伴うもので、許可されるDNS応答パケットのサイズを制限します。
今回の脆弱性自体、攻撃者が悪意のあるDNSクエリを使用することで、ヒープオーバフローを引き起こすものであるため、このような回避策が有効だとされます。
ただ、この回避策を適用することで、DNSの応答サイズが大きい場合、名前解決ができなくなったり、エラーが発生したりする可能性もあるとのことです。
そして、有効にするためにはDNSサービスの再起動が必要です。
なお、注意喚起にも記載がある通り、Windows UpdateおよびMicrosoft Updateの自動更新が有効になっている場合に追加の対応は必要ないとのことです。
まとめ
今回は、WindowsDNSサーバの脆弱性についてまとめてみました。
記事中にも記載しましたが、当該脆弱性の悪用を契機に、組織内への広い侵害が行われる可能性が一番の懸念なのかなと思います。
内容を参考にしていただき、対策をご検討いただけると幸いです。
