「Microsoft Streaming Service」の脆弱性に対する攻撃に注意

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、現地時間2月29日に「悪用が確認された脆弱性カタログ（KEV）」を更新し、「Microsoft Streaming Service」に関する脆弱性「CVE-2023-29360」を追加した。

「Microsoft Streaming Service」は、動画の作成や保存、視聴などの機能を提供するサービス。「Microsoft 365」のアプリなどと統合されている。

「CVE-2023-29360」は、「mskssrv」ドライバにおいて信頼されていないポインタを参照するため、権限昇格の脆弱性が可能となる脆弱性で、ローカル環境において「SYSTEM権限」を取得されるおそれがある。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「8.4」。マイクロソフトでは、重要度を4段階中、上から2番目にあたる「重要（Important）」とレーティングし、2023年6月の月例セキュリティ更新で修正していた。

同脆弱性に関しては、脆弱性の詳細な分析や実証コード（PoC）が公開されている。

（Security NEXT - 2024/03/01 ）ツイート