Windows Kerberosのゼロデイ脆弱性｜ブログ(ほぼこもセキュリティニュース)

今月もMicrosoftのPatch Tuesdayの日がやってきました。
今回も多くの脆弱性の対策が提供されています。

権限昇格の脆弱性：44件
リモートコード実行の脆弱性：35件
情報漏洩の脆弱性：18件
サービス拒否脆弱性：4件
なりすましの脆弱性：9件

とっても多いですね。
どれもそのままにすることのできるものではないのですが、この中にはすでに実際の悪用活動が確認されているものが含まれています。

CVE-2025-53779
これは、Windows Kerberosの権限昇格の脆弱性です。
Windows Kerberosは、ユーザまたはホストの身元を確認するために使用される認証プロトコルです。
この脆弱性が悪用された場合、認証された攻撃者がドメイン管理者権限を取得できてしまいます。
これは相対パスの表記を絶対パスに変換する「正規化」の仕組みを悪用した攻撃で、ディレクトリトラバーサル攻撃と呼ばれるものを可能にするものです。
任意のアカウント権限を持つ場合に作用するものではなく、いくつかの権限をすでに持っているアカウント情報が掌握されてしまった際に可能となるものではありますが、危険性の高い内容となっています。

このような記事を見ると、ついついゼロデイの脆弱性に注目が集まってしまいます。
しかし、なんらかのパッチを適用できていない機器にとっては、その適用していないすべての脆弱性に弱い状態にあるといえます。
自分たちにとっての適切なスケジュールを策定し、特別なこととしてではなく、日常的なこととして定常的なパッチケイデンスを維持できるように運用していきましょう。