CVE-2025-0411: 7-Zip MoTW バイパス脆弱性

はじめに

CVE-2025-0411 は 7-Zip の欠陥で、Windows の Mark-of-the-Web (MoTW) をバイパスし、細工されたアーカイブからの悪意のあるファイルが警告なしに実行される可能性があります。SmokeLoader キャンペーンで悪用され、7-Zip に自動更新機能がないためリスクをもたらします。

MoTW とは何か?

MoTW は、代替データストリーム (ADS) を介してインターネットからダウンロードされたファイルを安全でないものとしてマークし、警告や Protected View をトリガーします。ファイル処理中に保持されている場合にのみ有効です。

技術的詳細

7-Zip は、MoTW の Zone.Identifier ADS をネストされたアーカイブから抽出したファイルに伝播できないため、悪意のあるコンテンツが警告なしに実行される可能性があります。

実際の悪用事例

• マルウェア: UAC-0006 に関連する SmokeLoader キャンペーンは、偽装されたファイルでウクライナを標的にしています。
• 過去の悪用: CVE-2024-38213 および CVE-2024-21412 (DarkGate) と類似しています。

攻撃者の手法

• MoTW を保持しない非 NTFS コンテナ (.iso, .vhd) を使用する。
• 7-Zip などのアーカイブツールを悪用して MoTW を除去する。
• JavaScript を介して MoTW をバイパスする HTML スマイグリング。

防御策

• ソフトウェアの更新: 7-Zip を手動でパッチ適用する。
• グループポリシー: MoTW の処理を強制する。
• 脅威対策: コンテナファイルを検査する。
• ユーザー教育: 信頼できないファイルを回避する。

結論

CVE-2025-0411 は MoTW バイパスの危険性を示しています。パッチは提供されていますが自動更新はないため、リスクを軽減するには事前の更新と認識が鍵となります。