CVSS スコア 9.8 は、ほぼ最大レベルの深刻度であり、直ちにパッチ適用が必要であることを示しています。

2. 実施した内容

この調査では、以下の作業を実施しました。

1. CVE の背景調査 CVE とは何か、MITRE による識別子の割り当て方法、典型的な CVE レコードに含まれる情報について説明しました。

2. 脆弱性の特性評価 CVE-2024-38063 が「聖杯」と見なされる理由を文書化しました: 認証不要、ユーザー操作不要、ワーム化の可能性、IPv6 がデフォルトで有効、カーネルモードへの影響。

3. IPv6 の基礎 IPv4 と IPv6 の違い、拡張ヘッダーの役割、IPv6 で断片化が異なる動作をする理由について説明しました。

4. 根本原因の詳細分析 tcpip.sys 内の完全なパケット経路を追跡しました:

   • Destination Options ヘッダーと Fragment ヘッダーの相互作用
   • NET_BUFFER_LIST (NBL) バッチ処理の役割
   • Ipv6pProcessOptions と IppSendErrorList の動作
   • Ipv6pReceiveFragment における整数アンダーフロー
   • 16ビット割り当てと32/64ビットコピーの不一致によるカーネルヒープオーバーフロー
   • BSOD からリモートコード実行への経路

5. 用語と難易度の評価 セキュリティ用語、Windows 固有の概念、各悪用段階の相対的な難易度を説明する明確な表を作成しました。

6. 概念実証 (PoC) の開発 脆弱性を引き起こすために必要な、インターリーブされた無効な Destination Options パケットと IPv6 フラグメントを構築する Scapy ベースの Python スクリプトを作成し、文書化しました。

7. 完全な隔離ラボガイド 以下のステップバイステップの手順を作成しました:

   • Kali (攻撃者) とパッチ未適用の Windows (ターゲット) 仮想マシンのセットアップ
   • 静的 IPv6 アドレスの設定
   • bcdedit /set debug on によるパケットコアレッシングの有効化
   • ファイアウォールの無効化
   • PoC の実行とブルースクリーン (BSOD) の確認
   • 一般的な障害のトラブルシューティング

8. デモンストレーション 完全なラボセットアップ、スクリプト実行、およびクラッシュの成功を示すビデオを録画しました。

9. パッチレビュー 公式の2024年8月累積更新プログラム (KB番号) と、その修正が競合状態をどのように排除するかを文書化しました。

3. この脆弱性が重大である理由

このバグには、いくつかの高リスク特性があります:

• 認証不要 – 攻撃者はネットワークパケットを送信する能力のみが必要です。
• ユーザー操作不要 – 被害者はリンクをクリックしたり、ファイルを開いたり、その場にいる必要すらありません。
• ワーム化の可能性 – 悪用に成功すると、理論上、マシンからマシンへ自動的に拡散する可能性があります (EternalBlue / WannaCry と同種)。
• IPv6 がデフォルトで有効 – 最新の Windows システムでは、ネットワークが主に IPv4 を使用している場合でも IPv6 がアクティブです。
• カーネルモードへの影響 – この欠陥は tcpip.sys (Ring 0) に存在します。悪用に成功すると、システム全体の制御が可能になります。
• 複雑だが現実的な攻撃ベクトル – これは、正確なパケットタイミングとバッチ処理を必要とする競合状態であり、信頼性の高い悪用は簡単ではありませんが、熟練した攻撃者には達成可能です。

4. 技術的根本原因 (概要)

トリガーコンポーネント

この脆弱性は、2つの IPv6 拡張ヘッダーの組み合わせによって引き起こされます:

1. Destination Options ヘッダー (nh=60) 無効なオプションタイプ (otype > 0x80) が含まれています。これにより、Windows は ICMPv6 Parameter Problem エラーを生成します。

2. Fragment ヘッダー (nh=44) パケットが破損した後でも、IPv6 再構築キューにパケットを保持し続けます。

攻撃チェーン

1. 攻撃者は、無効な Destination Options パケットと IPv6 フラグメントを高速で交互に送信します。
2. パケットは NDIS によって単一の NET_BUFFER_LIST (NBL) にバッチ処理されます。
3. Ipv6pProcessOptions が不正なオプションを検出し、NBL を IppSendErrorList に渡します。
4. IppSendErrorList が内部フラグを誤って設定し、同じ NBL 内の後続のパケットを破損させ、それらの DataLength を強制的にゼロにします。
5. Fragment ヘッダーのため、長さゼロのパケットは破棄されずに再構築キューに配置されます。
6. Ipv6pReceiveFragment はペイロードサイズを 0 − HeaderSize として計算し、整数アンダーフロー (ペイロード長が約4GBになる) を引き起こします。
7. 小さなバッファが割り当てられますが (16ビットサイズ計算により切り詰められる)、RtlCopyMemory は巨大なアンダーフローした長さをコピーします → カーネルヒープオーバーフロー。
8. 結果: ブルースクリーン (BSOD)、またはオーバーフローを正確に制御できた場合はリモートコード実行。

詳細なデータフロー図と関数レベルの分析は、完全なライトアップに記載されています。

5. リポジトリの内容

3つのサポートファイルをリポジトリのルートに配置するか (またはパスを更新して)、リンクが維持されるようにしてください。

6. ラボの安全要件

• すべてのテストは、厳密に隔離された仮想マシン内 (Host-Only または Internal ネットワークのみ) で実施してください。
• 本番マシンや、インターネットまたは企業ネットワークに接続されたシステムを決して使用しないでください。
• ターゲットの Windows システムは、パッチ未適用 (2024年8月の累積更新プログラム適用前) のままにしておく必要があります。
• ターゲットでカーネルデバッグを有効にします (bcdedit /set debug on + 再起動) これにより、パケットコアレッシングの信頼性が向上します。
• ラボネットワークでは Windows ファイアウォールを無効にします。
• 攻撃者とターゲットの両方に一致する静的 IPv6 アドレスを使用します (スクリプトで使用される値の例: 2001:db8::20 → 攻撃者、2001:db8::10 → ターゲット)。

完全な設定手順、トラブルシューティングマトリックス、およびクリーンアップ手順は、ライトアップに文書化されています。

7. 公式パッチ

Microsoft は、2024年8月の累積更新プログラムの一部として修正プログラムをリリースしました:

このパッチは、影響を受けるコードパスに適切なロックを導入し、整数アンダーフローと範囲外書き込みにつながった競合状態を排除します。

8. 免責事項

このリポジトリ内のすべての資料 (ライトアップ、スクリプト、ビデオ) は、教育および防御的なセキュリティ調査専用に提供されています。

• 所有していない、またはテストする明示的な許可がないシステムに対して、概念実証 (PoC) や説明されている手法を使用しないでください。
• 本番環境やインターネットに接続されたシステムでこれらの資料を実行することは、違法かつ非倫理的です。
• 著者は、誤用または結果として生じる損害について一切の責任を負いません。

10. 参考文献

調査チーム

• Mayank
• Surya Prakash
• Hiba