Windows「RDP」の脆弱性が「Hyper-V」に影響か　VMからホストを攻撃可能に

2019年2月、Microsoftの「リモートデスクトッププロトコル」（RDP）に脆弱性が見つかった。それが「Hyper-V」にも影響を及ぼすという。どのような危険性があるのか。

公開 2019年09月18日 05時00分

著者

Rob Wright

[TechTarget]

印刷する

　Microsoftの「リモートデスクトッププロトコル」（RDP）の脆弱（ぜいじゃく）性は、同社のサーバ仮想化ソフトウェア「Hyper-V」とどのような関係があるのか。セキュリティベンダーのCheck Point Software Technologies（以下、Check Point）によれば、大いに関係があるという。

　Check Pointが2019年2月に発見したRDPの脆弱性は、仮想マシン（VM）を管理する機能「Hyper-Vマネージャー」において「VMエスケープ」に利用される可能性があることが分かった。VMエスケープとは、攻撃者がVMから脱出してホストマシンにアクセスすることだ。

　「RDPの脆弱性がHyper-Vの脅威になるとは考えていなかった」とCheck Pointは言う。RDPと、Hyper-VのVMは共通する技術を使っていることから、RDPの脆弱性に関する“膨大な数のコメント”として、RDPの脆弱性がHyper-Vに影響を及ぼす可能性についての質問が寄せられた。

リモート接続先・接続元への“脱出”が可能

　「RDPの脆弱性がHyper-Vと関係があるとは思わなかった。だが驚いたことに、大きな関係があった」と、Check Pointの主任研究員を務めるヤニフ・バルマス氏は振り返る。

　脆弱性研究者であるエイヤル・イトキン氏をはじめとするCheck Pointの研究者は、RDPの脆弱性と、それをHyper-Vに応用する方法を詳しく調べた。「『RDPなどのリモート接続用プロトコルを使えば、接続中は安全だ』という誤った認識がある」とバルマス氏は指摘する。実際、RDPの脆弱性はその認識に反していた。同氏によると、もし悪質なシステムにリモート接続してしまった場合、この脆弱性が原因となり、マルウェアが送り込まれる可能性がある。

　この事実はHyper-VのVMにも当てはまる。RDPの脆弱性を利用することで、ゲストOSからホストOSへのVMエスケープが可能になることが、Check Pointの調査で判明した。つまり、悪意のある攻撃者がRDPの脆弱性を悪用してゲストOSのVMから抜け出し、マルウェアをホストOSに送り込むこともできる。

　2019年8月開催のセキュリティカンファレンス「Black Hat USA 2019」に登壇したイトキン氏は講演で、こうした攻撃を「怠惰な横移動」と形容した。攻撃者は特定の環境の中でさまざまなシステムへの接続を試して積極的に動き回るのではなく、1つのシステムを制御し、標的がその「汚染されたRDPクライアント」に接続するのを待ってマルウェアに感染させ、認証情報を盗む手口を取る。

併せて読みたいお薦め記事

リモートデスクトップの脆弱性

さまざまなデスクトップ仮想化方式

当初は重要視していなかったMicrosoft

　イトキン氏と、Microsoftのセキュリティ調査チームWindows Defender Researchのセキュリティソフトウェアエンジニアであるダナ・バリル氏の研究論文によると、研究チームはMicrosoftがHyper-Vの「舞台裏」でRDPを使っていることを発見した。「画面共有、リモートキーボード、ゲストOSとホストOS間のクリップボード共有などの機能は、全てRDPの一部として実装済みだとMicrosoftは判断したため、Hyper-V用に再実装していない。攻撃者もこうした機能を悪用する可能性は十分にある」（同氏）

　RDPクライアントのクリップボード共有に存在する脆弱性は、Hyper-Vのクリップボード共有にも影響を及ぼす。クリップボードの共有が利用できるのはHyper-Vの「拡張セッション」モード（VMからホストマシンのハードウェアを利用可能にするモード）のみだ。「Windows 10」はこのモードを初期設定で有効にしている。

　Microsoftは2019年2月時点で、このRDPの脆弱性について、「発見は有効だが、われわれのサービス対象の基準を満たさない」と述べ、対処しない方針だった。だがバルマス氏によると、「Hyper-Vでもこの脆弱性が悪用される恐れがあることをMicrosoftに示した結果、Microsoftは同年7月の月例更新プログラムでこの問題に対処した」という。「RDPの脆弱性がHyper-Vにも影響することはMicrosoftにとっても驚きだったので、そのことを知ってすぐに行動したのだと考えている」と同氏は推測する。

　バルマス氏はHyper-Vを使っている企業に対し、RDPの脆弱性を修正するか、少なくともクリップボードの共有を無効にするよう勧告した。この機能を無効にすれば、エンドユーザーがVMからデータをコピー＆ペーストする事態は防止できる。Hyper-Vの制御インタフェースはRDPを利用しているため、Hyper-Vの稼働を止めない限りはRDPを無効にすることはできない。

　バリル氏は、エンドポイントセキュリティ製品「Microsoft Defender Advanced Threat Protection」（Microsoft Defender ATP）において、RDPの脆弱性が悪用されている兆候があればアラートを出す機能を開発した。同氏はWindows 10のテレメトリーデータ（遠隔操作で収集するデータ）を使って、例えば複数のファイルが短時間のうちにコピーされるといったRDPの異常な挙動を検知した。「パッチだけでは不十分だ。エンドユーザーがパッチを適用するまで、システムは脆弱な状態にある」と同氏は言う。

　この数年の間に、RDPの脆弱性や攻撃に対する懸念が強まっている。2018年9月、米連邦捜査局（FBI）と米国土安全保障省は共同で声明文を発表し、RDPの脆弱性を突く攻撃が増えていると警告した。Microsoftは2019年5月、RDPの重大な脆弱性「BlueKeep」を修正した。この脆弱性を悪用すると、遠隔操作で任意のプログラムを実行できる恐れがある。バルマス氏は「RDPにはこのような脆弱性がもっとあると推測しており、そのリスクは大きい」と懸念する。

印刷する