ernestak/cve-2022-30190CVE-2022-30190 に関する公式ガイダンスと回避策。これは、Microsoft サポート診断ツール (MSDT) のリモートコード実行の脆弱性であり、Office アプリケーションを介して悪用可能です。
CVE-2022-30190 Microsoft サポート診断ツールの脆弱性に関するガイダンス MSRC / msrc 著 / 2022年5月30日 2022年5月30日(月)、Microsoft は、Windows の Microsoft サポート診断ツール (MSDT) の脆弱性に関する CVE-2022-30190 を公開しました。
Word などの呼び出し元アプリケーションが URL プロトコルを使用して MSDT を呼び出すと、リモートでコードが実行される脆弱性が存在します。この脆弱性の悪用に成功した攻撃者は、呼び出し元アプリケーションの権限で任意のコードを実行する可能性があります。その後、攻撃者はプログラムのインストール、データの表示、変更、削除、またはユーザーの権限で許可されたコンテキストでの新しいアカウントの作成などを行う可能性があります。
回避策 MSDT URL プロトコルを無効にするには
MSDT URL プロトコルを無効にすると、オペレーティングシステム全体のリンクを含むリンクとしてトラブルシューティングツールが起動されなくなります。トラブルシューティングツールは、[ヘルプの入手] アプリケーションやシステム設定のその他のトラブルシューティングツールから引き続き利用できます。無効にするには、次の手順に従ってください。
reg export HKEY_CLASSES_ROOT\ms-msdt filename を実行します。reg delete HKEY_CLASSES_ROOT\ms-msdt /f を実行します。回避策を元に戻す方法
reg import filename を実行します。Microsoft Defender の検出と保護 Microsoft Defender Antivirus (MDAV) Microsoft Defender Antivirus は、検出ビルド 1.367.851.0 以降の以下のシグネチャを使用して、脆弱性の悪用の可能性に対する検出と保護を提供します。
Microsoft Defender Antivirus (MDAV) をご利用のお客様は、クラウドによる保護と自動サンプル送信を有効にしてください。これらの機能は人工知能と機械学習を使用して、新たな脅威や未知の脅威を迅速に特定し阻止します。
Microsoft Defender for Endpoint (MDE) Microsoft Defender for Endpoint は、お客様に検出とアラートを提供します。Microsoft 365 Defender ポータルの以下のアラートタイトルは、ネットワーク上の脅威アクティビティを示している可能性があります。
Microsoft Defender for Endpoint (MDE) のお客様は、攻撃面の減少ルール「すべての Office アプリケーションが子プロセスを作成できないようにする」(GUID: d4f940ab-401b-4efc-aadc-ad5f3c50688a) を有効にすることで、Office アプリケーションが子プロセスを作成するのをブロックできます。悪意のある子プロセスの作成は一般的なマルウェア戦略です。詳細については、ASR ルール「すべての Office アプリケーションが子プロセスを作成できないようにする」を参照してください。
Microsoft Defender for Office 365 (MDO) Microsoft Defender for Office 365 は、この脆弱性の悪用に使用される悪意のある文書や URL を含む電子メールに対する検出と保護を提供します。
FAQ Q: Protected View および Application Guard for Office は、この脆弱性からの保護を提供しますか？
A: 呼び出し元アプリケーションが Microsoft Office アプリケーションである場合、既定では、Microsoft Office はインターネットからのドキュメントを Protected View または Application Guard for Office で開きます。これらの機能はいずれも、現在の攻撃を防ぎます。
Protected View の詳細については、「Protected View とは」をご覧ください。 Application Guard for Office の詳細については、「Application Guard for Office」をご覧ください。
Q: GPO 設定「コンピューターの構成\管理用テンプレート\システム\トラブルシューティングと診断\Microsoft サポート診断ツール\Microsoft サポート診断ツール: サポートプロバイダーとの MSDT 対話型通信を有効にする」を「無効」に設定することは別の回避策ですか？
レジストリ ハイブ: HKEY_LOCAL_MACHINE
レジストリ パス: \Software\Policies\Microsoft\Windows\ScriptedDiagnosticsProvider\Policy
値名: DisableQueryRemoteServer
種類: REG_DWORD
値: 0
A: いいえ、この GPO はこの脆弱性に対する保護を提供しません。「サポートプロバイダーとの対話型通信」は、MSDT がパラメーターなしで起動されたときに実行される特別なモードであり、URL プロトコルの MSDT サポートには影響しません。
Q: GPO 設定「コンピューターの構成 - 管理用テンプレート - システム - トラブルシューティングと診断 - Microsoft サポート診断ツール\トラブルシューティング: ユーザーが既知の問題に対して推奨されるトラブルシューティングにアクセスできるようにする」を「無効」に設定することは別の回避策ですか？
A: いいえ、このグループポリシーを有効または無効にしても、トラブルシューティング機能の脆弱な部分には影響しないため、有効な回避策にはなりません。
Q: Windows Defender アプリケーション制御 (WDAC) などのテクノロジを使用して MSDT をブロックすることは、「HKEY_CLASSES_ROOT\ms-msdt」の MSDT ハンドラーを削除することと同等の有効な回避策ですか？
A: MSDT をブロックすると、ネットワークトラブルシューティングツールやプリンタートラブルシューティングツールなど、すべての MSDT ベースの Windows トラブルシューティングツールの起動が妨げられます。推奨される回避策は、MSDT リンクのクリックを無効にするものであり、ユーザーは引き続き使い慣れた Windows トラブルシューティングツールを使用できます。
Q: どの Windows バージョンで回避策が必要ですか？
A: MSDT URL プロトコルは、Windows Server 2019 および Windows 10 バージョン 1809 以降のサポートされている Windows バージョンで利用できます。回避策のセクションで説明されているレジストリキーは、以前のサポートされている Windows バージョンには存在しないため、回避策は必要ありません。
CVE-2022-30190 については、さらに情報が提供された時点で更新します。
MSRC チーム
更新履歴: 06/06/2022 – FAQ を追加しました。 06/07/2022 – 質問と回答を 1 つ追加しました。 06/07/2022 – 検出情報を追加しました。