Windowsゼロデイ「MiniPlasma」がPoC公開、最新パッチ環境でもSYSTEM権限昇格が可能

「最新のWindows Update、ちゃんと当てているから安心、で本当に大丈夫だろうか？」
「PoCが公開されたゼロデイって、社内端末にどんな影響があるのか？」

チップス

ボス、また怖いゼロデイが来たって聞いたんでしゅ。今度はWindowsで、しかもパッチを当ててても効くって本当でしゅかぁ…！

ボス

ふふふ、噂は本当だ。Cloud Filter Driverを狙う「MiniPlasma」というゼロデイで、Windows 11 Proの最新パッチ環境でもSYSTEM権限まで奪える。社内のエンドポイントを抱える組織は深刻な話だな。

本記事では、PoCが公開されたWindowsゼロデイ「MiniPlasma」の概要と、組織として急ぐべき防御策をやさしく整理します。
Windows端末を業務利用する全企業のシステム担当者の方に役立つ内容です。

読み終えるころには、自社のWindows端末に何をすべきか、優先度の判断がつくはずです。

2020年「修正済み」が再発、MiniPlasmaの正体

まずは何が起きたのか、対象コンポーネントと攻撃の前提を押さえます。

cldflt.sysのアクセス制御不備を突くゼロデイ

研究者が公表した「MiniPlasma」は、WindowsのCloud Files Mini Filter Driver（cldflt.sys）に残るアクセス制御の不備を突く権限昇格ゼロデイです。
HsmOsBlockPlaceholderAccessというルーチンの処理を回避し、ドキュメント化されていないCfAbortHydration APIを悪用してレジストリ操作の権限を得る仕組みになっています。
もともとCVE-2020-17103として2020年12月に修正された脆弱性ですが、現在も不備が残っており、Windows 11 Proを含む完全パッチ環境でPoCの動作が確認されています。
詳細はBleepingComputerの報道に整理されています。

チップス

ふぇ、6年前に直したはずの穴がまだ残ってたなんて、ちょっと油断しすぎでしゅねぇ…。

ボス

そうだ。OSのコア部品でも、修正が完全とは限らない。CVE番号がついて安心と思い込まず、ふたを開けて確かめる姿勢が必要だな。

企業環境に広がる被害シナリオと打ち手

続けて、この脆弱性が実際の業務に与える影響と、いま選べる選択肢を整理します。

標準ユーザー権限さえあればSYSTEMまで一気に昇格

MiniPlasmaのリスクは「最初の侵入の難易度を一気に下げる」点にあります。
フィッシングやUSB感染などで標準ユーザー権限を取得できれば、攻撃者は端末上でSYSTEM権限を手にし、EDR停止や横展開、ランサムウェアの初期足場づくりに使えます。
結果としてエンドポイント1台の侵害がドメイン全体の侵害につながる構図となり、被害規模を大きく膨らませる起爆剤になり得ます。

パッチを待つ間に取り組むべき暫定対策

Microsoftの修正公開を待つ間、組織側の現実解はEDRと運用面の強化です。
cldflt.sys絡みの不審なAPI呼び出しや、CfAbortHydration系の呼び出しを検知できるよう監視ルールを更新します。
標準ユーザー権限の見直しと、特権管理ツール（PAM）の運用見直しで、万一権限昇格を許しても被害を最小化できる構成にしておきます。
Windows 11 Insider Preview Canaryでは修正の動きがあるとされ、検証環境でアップデート計画を前倒し検討する価値があります。

チップス

ウチの会社、EDR入れてるけどルールは購入時のままだったかも…。見直してみるでしゅ！

ボス

うむ。導入で終わらず、最新の脅威に合わせて更新し続けることでEDRは本領を発揮する。運用に魂を入れていく姿勢が大切だな。

まとめ

MiniPlasmaは、最新パッチを当てていてもWindows端末が完全に安全とは限らない現実をはっきり示した事例です。
EDRの検知ルール更新・特権管理の徹底・修正公開時の即時適用、この三点セットで侵入から被害拡大までの線を確実に断ちきりたいところです。
運用の手数が足りない現場では、即戦力のフリーランス専門家を活用する選択肢も検討する価値があります。