ある研究者が「PhantomRPC」と呼ばれる脆弱性を発見したが、マイクロソフトはこれを修正対象とする脆弱性とは見なしていない。
PhantomRPCにはWindows リモートプロシージャコール（RPC）は、通信の中核となるものです。 Windows この脆弱性により、なりすまし権限を持つプロセスが、偽のRPCサーバーに接続する高権限クライアントになりすますことで、SYSTEM権限に昇格することが可能になります。
この研究者は、強制、ユーザー操作、バックグラウンドサービスなど、5つの攻撃経路を概説した詳細な技術報告書を発表した。根本的な問題はアーキテクチャにあるため、潜在的な攻撃経路は「事実上無限」であると警告した。
しかし、マイクロソフトはこの問題を「中程度」と分類し、報奨金の支払いを拒否し、CVE（共通脆弱性一覧）への登録も行わず、追跡せずに件を閉じた。同社の見解では、この手法はすでに侵害されたマシンを必要とし、認証不要のアクセスやリモートアクセスを可能にするものではないとしている。
専門家たちはマイクロソフトの評価に異議を唱えた。彼らの懸念は、マイクロソフトが、サポートされているすべてのシステムに存在する、体系的なローカル権限昇格技術を軽視している点にある。 Windows バージョン。
問題点
この問題の核心は、 Windows RPCランタイムは、特権の高いクライアントが接続するサーバーが意図した正当なエンドポイントであることを十分に検証しません。
正規のRPCサーバーに接続できない場合（例えば、サービスが停止している、設定ミスがある、インストールされていない、あるいは競合状態にあるなどの理由による）、SeImpersonatePrivilegeを持つ攻撃者は、同じインターフェースとエンドポイントを使用して「その隙間を埋める」偽のRPCサーバーを立ち上げる可能性があります。
SYSTEM または高い権限を持つクライアントが、サーバーがクライアントになりすますことを許可するなりすましレベルを使用してこの偽のサーバーに接続すると、攻撃者は RpcImpersonateClient そして直ちにそのユーザーの権限をSYSTEMに昇格させる。
マイクロソフトの観点から言えば、このような方法で不正なRPCサーバーを実行できる状態は、「すでに侵害されている」というカテゴリーに該当する。
SeImpersonatePrivilege
この問題をより深く理解するためには、SeImpersonatePrivilege の動作について詳しく調べる必要があります。
基本的に SeImpersonatePrivilege はWindows 既にログイン済みの状態で、プログラムが「あなたになりすます」ことを許可する権限。これにより、プログラムはあなたのアクセスレベルを使用して、あなたに代わって操作を実行できます。
多くのシステムサービスやサーバー型アプリケーション（ファイル共有、RPCサーバー、COMサーバー、Webアプリケーションなど）は、ユーザーのファイルを読み込んだり、グループポリシーを適用したりするなど、ユーザーに代わって操作を実行する必要があるため、これが必要となります。
攻撃者がこの権限を取得した場合、偽のサービスやサーバーを作成し、より権限の高いアカウントがそこに接続してくるのを待ち構えることができます。その高権限のサービスが接続すると、攻撃者はそのセキュリティトークンを奪い、そのアカウントになりすますことができます。これにより、攻撃者は低権限のアカウントから、そのマシンに対する完全なSYSTEM権限へと事実上昇格することになります。
保護
マイクロソフトの広報担当者は、次のように述べた：
「この手法は、すでに侵害されているマシンを必要とし、認証なしのアクセスやリモートアクセスを可能にするものではありません。あらゆる更新は、既存の互換性と顧客のリスクとのバランスを考慮したものであり、当社は引き続き製品のセキュリティ強化に取り組んでまいります。お客様には、管理者権限の制限や最小権限の原則の適用など、セキュリティのベストプラクティスに従うことをお勧めします。」
私たちの見解では、PhantomRPCを適切に緩和するには、RPCアーキテクチャに大幅な変更を加える必要があり、既存のシステムではそれは困難です。 Windows 互換性を損なわずにバージョンアップできる。必要な変更の規模を考えると、将来のバージョンで実現するかもしれない。
できること：
- PhantomRPCはより大きなチェーンの一部であるため、 Windows 更新しました。
- 管理者アカウントは控えめに使用し、その権限が必要な作業にのみ使用してください。
- 不審な権限昇格活動を検知・ブロックできる、最新のリアルタイム型マルウェア対策ソリューションを導入してください。
- 悪意のあるサービスがその代わりに入り込む可能性があるため、安易にサービスを無効化したり「強化」したりすることは避けてください。
タイトルの質問に対する答えとしては、これはさまざまな形で悪用されかねない「機能」であり、本来の脅威モデルを超えた存在となっているようです。防御側は、これらを単発のCVEとしてではなく、継続的なリスクとして扱う必要があります。
