CVE-2025-24990 — Windows の信頼されていないポインタの参照外し (EoP)

Sentinel AI Defense による調査レポート。防御的分析のみ — 動作するエクスプロイト や PoC はここでは公開されていません。

特権のある Windows コンポーネントが、信頼されていないコンテキストから受け取ったポインタを検証せずに 参照外しします。これにより、低特権の攻撃者は任意のメモリアクセスと SYSTEM への確実な経路を 得られます。2025 年に実際の攻撃で悪用されました。

📄 詳細記事: https://sentinelaidefense.com/posts/cve-2025-24990-windows-untrusted-pointer.html

---

概要

CVE-2025-24990 は、Microsoft Windows における信頼されていないポインタの参照外しの脆弱性です。 攻撃者は、信頼できないソースから受け取ったポインタの不適切な検証を悪用して、特権の昇格や 任意のコード実行を引き起こせます。

この欠陥は 2025 年に実際に悪用され、CISA KEV カタログに追加されました。これはローカル特権 昇格のシナリオでよく使用され、他の脆弱性と連鎖させてより広範な影響を与えることができます。 Microsoft の 2025 年のセキュリティ更新プログラムで修正されました。

影響を受けるバージョン

次のさまざまなエディションに影響します：

• Windows 10
• Windows 11
• Windows Server (2016–2025 ビルド)

この脆弱性は通常、信頼できない入力を処理する Windows の中核コンポーネント（カーネルまたはシステムサービス）に存在します。

技術分析（根本原因）

根本原因は、ユーザーモードまたはその他の信頼できないコンテキストから高特権コンポーネント （例：カーネル）に渡されたポインタの検証が不適切なことです。システムがこのポインタを 適切なチェックなしで参照外しすると、攻撃者はメモリアクセスを制御でき、任意の読み取り/書き込み プリミティブや、高い特権コンテキストでの直接的なコード実行につながります。

この種のバグ（信頼されていないポインタの参照外し）は、Windows における特権昇格と情報漏えいの一般的な原因です。

攻撃チェーン

1. 攻撃者は、まず低い特権レベルでコード実行を達成します（例：フィッシング、悪意のある 文書、または既存の足場を介して）。
2. 脆弱なコンポーネントに細工されたポインタを渡すことで、脆弱性を発動させます。
3. より高い特権レベル（多くの場合 SYSTEM）で、任意のメモリアクセスまたはコード実行を達成します。
4. さらに、資格情報のダンプ、ラテラルムーブメント、ランサムウェアの展開などのアクションを実行します。

完全なシステム侵害のために、ブラウザやアプリケーションのエクスプロイトと連鎖させられることがよくあります。

検出の手引き

• Windows セキュリティログを監視して、不審な特権昇格イベントや異常なカーネルモードの アクティビティを確認します。
• ポインタ処理に関連するシステムプロセスのクラッシュや異常を探します。
• EDR ツールは、ユーザーモードからカーネル構造へのアクセス試行や、メモリ操作の急速なシーケンスを フラグ付けする必要があります。
• 行動指標：ユーザーモードのアクティビティに続く、予期しない SYSTEM レベルのプロセス作成。

侵害の指標

• 脆弱な Windows コンポーネントを標的とした特定のエクスプロイトパターン（エクスプロイト キットでよく観察されます）。
• ポストエクスプロイトの痕跡：LSASS ダンプ、新しい特権アカウント、異常なドライバーの読み込み。
• 2025 年のキャンペーンに関連する既知のエクスプロイトツールまたはペイロードのハッシュ。

緩和策

• Microsoft のセキュリティ更新プログラムをインストールします（2025 年のもの、特にこの CVE に対応するもの）。
• HVCI（ハイパーバイザーで保護されたコード整合性）、 Credential Guard、Kernel Data Protection などの高度な Windows の緩和策を有効にします。
• 最小特権の原則とアプリケーション制御（例：AppLocker または WDAC）を使用します。
• 特権昇格のための行動ベースのルールを使用して、EDR ソリューションを最新の状態に保ちます。

この脆弱性は、タイムリーなパッチ適用と最新の Windows セキュリティ機能の重要性を浮き彫りにします。 信頼されていないポインタの問題は、SYSTEM アクセスを求める攻撃者にとって依然として信頼性の高いベクターであるためです。

参照

• CVE-2025-24990 に関する Microsoft MSRC アドバイザリ
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-24990
• CISA の既知の悪用済み脆弱性カタログ

免責事項

このリポジトリは防御および教育目的のみで公開されています。分析、 検出ロジック、緩和策のガイダンスが含まれています。機能するエクスプロイトコードは提供されていません。この 情報は、テストと防御を許可されたシステムでのみ使用してください。

---

_{メンテナー: Sentinel AI Defense · 調整済み開示の下で責任を持って調査結果を共有しています。}