更新履歴(初版のみ・2026年11月01日公開)
- 初版公開
この記事を引用する(DOI: 10.5281/zenodo.23851325)
この記事はZenodoにアーカイブされています。常に最新版へ解決されるDOIと、いま表示している版に固定されたDOIの両方を下に示します。
小村 豪(2026)「HiveNightmareで、なぜ一般ユーザーがSAMを読めたのか？」合同会社小村ソフト. https://doi.org/10.5281/zenodo.23851325 https://comcomponent.com/blog/windows-hivenightmare-cve-2021-36934-sam/
- DOI(最新版)
- 10.5281/zenodo.23851325
- DOI(この版)
- 10.5281/zenodo.23851326
WindowsのローカルアカウントはSAM（Security Accounts Manager）というデータベースに保存されています。その実体は%windir%\system32\configにあるレジストリのハイブファイルで、本来は一般ユーザーには読めません。12
2021年7月、Windows 10の複数のバージョンで、このフォルダーのファイルを一般ユーザーが読める状態になっていることが公表されました。HiveNightmareまたはSeriousSAMと呼ばれたCVE-2021-36934です。読み取りの経路になったのは、復元ポイントなどのために作られるボリュームシャドウコピーでした。このため、修正の更新を入れるだけでは直らない脆弱性でもありました。34
1. 概要
CVE-2021-36934は2021年7月20日に公開されたWindowsの権限昇格の脆弱性です。MicrosoftはSAMデータベースを含む複数のシステムファイルのアクセス制御リスト（ACL）が過剰に緩いことを原因に挙げ、悪用に成功した攻撃者はSYSTEM権限で任意のコードを実行できるとしています。54
| 項目 | 内容 |
|---|---|
| CVE | CVE-2021-369345 |
| Microsoftの名称 | Windows Elevation of Privilege Vulnerability5 |
| 通称 | HiveNightmare、SeriousSAM6 |
| 公開日 | 2021年7月20日（修正の更新は2021年8月10日）57 |
| 対象機能 | %windir%\system32\configにあるSAMなどのシステムファイルのACL48 |
| 問題の性質 | 一般ユーザーへの読み取り権限の付与8 |
| 深刻度 | Important。CVSS 3.1基本値7.8（Microsoftの評価）5 |
| 主な影響 | ローカルでの権限昇格（SYSTEM権限でのコード実行）4 |
| 悪用実績 | あり。CISAが2022年2月10日に既知悪用脆弱性カタログへ追加9 |
公開時のMicrosoftの記録では、悪用は「なし」、一般への公開は「あり」でした。悪用の可能性の評価は「Exploitation More Likely」です。その後CISAが既知悪用脆弱性カタログに加えています。59
flowchart TB
accTitle: HiveNightmareで権限昇格に至るまで
accDescr: SAMなどのファイルに一般ユーザーの読み取り権限が付き、シャドウコピーがあるとそのコピーを読めて、権限昇格につながる流れを示します。
A["SAMなどのファイルにUsersの読み取り権限"] --> B{"システムドライブのシャドウコピーがあるか"}
B -->|"ない"| C["コピーを読む経路がない"]
B -->|"ある"| D["一般ユーザーがコピーのSAMを読める"]
D --> E["パスワードのハッシュなどを取り出せる"]
E --> F["SYSTEM権限での実行につながる"]
図1: アクセス権の誤りとシャドウコピーの二つがそろって、SAMを読む経路ができました。84
図の実線は常に成り立つ関係、破線は条件付きの関係です(成立条件は詳細ページの各関係の説明に記載)。関係すべての一覧(全12件、根拠・確度つき)と主要概念の定義は知識マップ詳細ページにまとめています。データ: JSON-LD / Turtle
2. 対象
Microsoftが更新の対象に挙げたのは、Windows 10のバージョン1809、1909、2004、20H2、21H1です。10 公開翌日の改訂で加わった一覧にはWindows Serverも含まれていましたが、2021年7月23日と27日の改訂で、影響を受けないとして外されました。7
| バージョン | 修正の更新 | 修正後のビルド |
|---|---|---|
| Windows 10 バージョン1809 | KB5005030 | 17763.2114 |
| Windows 10 バージョン1909 | KB5005031 | 18363.1734 |
| Windows 10 バージョン2004 | KB5005033 | 19041.1165 |
| Windows 10 バージョン20H2 | KB5005033 | 19042.1165 |
| Windows 10 バージョン21H1 | KB5005033 | 19043.1165 |
表: MSRCの機械可読データに記載された更新とビルド番号です。10
攻撃者には対象のPCでコードを実行できることが必要です。4 CVSSの攻撃元区分も「ローカル」です。5 そのうえで、システムドライブのボリュームシャドウコピーが存在することが条件になります。CERT/CCはシャドウコピーがない構成もあるとしつつ、システムドライブが128GBを超えていれば、Windows UpdateやMSIのインストールで自動的にシャドウコピーが作られると説明しています。811
flowchart TB
accTitle: HiveNightmareが成り立つ条件
accDescr: 対象のWindows 10で、攻撃者がコードを実行でき、システムドライブのシャドウコピーがある場合に成り立つことを示します。
A{"対象のWindows 10か"} -->|"対象外"| X["影響を受けない"]
A -->|"1809から21H1"| B{"攻撃者がPC上でコードを実行できるか"}
B -->|"できない"| Y["この脆弱性だけでは狙えない"]
B -->|"できる"| C{"システムドライブのシャドウコピーがあるか"}
C -->|"ない"| Z["読み取りの経路がない"]
C -->|"ある"| D["SAMのコピーを読める"]
図2: すでにPC上で動いている攻撃者が、権限を上げるために使う脆弱性でした。48
3. 詳細
SAMはレジストリのハイブファイルに入っている
レジストリはハイブという単位でファイルに保存されています。ハイブは起動時やユーザーのログオン時にメモリへ読み込まれるキーと値のまとまりです。その多くは%SystemRoot%\System32\Configにあり、HKEY_LOCAL_MACHINE\SAMはSamというファイルに、HKEY_LOCAL_MACHINE\SecurityはSecurity、HKEY_LOCAL_MACHINE\SystemはSystemというファイルに対応します。1
SAMはローカルのユーザーアカウントとグループを保存するデータベースです。ローカルアカウントでのログオンでは、LSA（ローカルセキュリティ機関）がSAMを照合して資格情報を検証します。Microsoftは、レジストリにあるSAMのコピーやローカルのセキュリティポリシーはシステムだけがアクセスできると説明しています。2
flowchart TB
accTitle: レジストリのハイブとファイルの対応
accDescr: HKEY_LOCAL_MACHINEのSAM、Security、Systemの各ハイブが、System32のConfigフォルダーにある同名のファイルに保存されることを示します。
A["HKEY_LOCAL_MACHINE"] --> B["SAMハイブ"]
A --> C["Securityハイブ"]
A --> D["Systemハイブ"]
B --> E["Configフォルダーのファイル"]
C --> E
D --> E
E --> F["Sam・Security・System"]
図3: SAMの中身はConfigフォルダーにあるファイルとしてディスクに保存されています。1
Usersグループに読み取り権限が付いていた
CERT/CCによると、影響を受けるWindows 10では、%windir%\system32\configのファイルに対してBUILTIN\Usersグループの読み取りと実行（RX）の権限が付いていました。CERT/CCはこれを、管理者ではないユーザーにこれらのファイルの読み取りを許すものと説明しています。38
CERT/CCは管理者ではないコマンドプロンプトで次のコマンドを実行して確かめる方法を示しています。12
icacls %windir%\system32\config\sam
影響を受ける状態では、出力にBUILTIN\Users:(I)(RX)が含まれます。(I)は親のフォルダーから継承したアクセス許可、RXは読み取りと実行の権限を表します。影響を受けない状態では、アクセスが拒否されます。1213
flowchart TB
accTitle: icaclsの結果で状態を見分ける
accDescr: 管理者ではないプロンプトでSAMのファイルにicaclsを実行し、Usersの読み取り権限が表示されるか、アクセスが拒否されるかで状態を見分けることを示します。
A["管理者ではないプロンプトでicaclsを実行"] --> B{"結果"}
B -->|"BUILTIN\Users:（I）（RX）が出る"| C["影響を受ける状態"]
B -->|"アクセスが拒否される"| D["影響を受けない状態"]
図4: 影響を受ける状態かは一般ユーザーの権限で実行した結果で見分けます。12
シャドウコピーが読み取りの経路になった
読み取り権限が付いていても、悪用の条件にはシャドウコピーがあることが挙がっています。CERT/CCとCISAはどちらも、システムドライブのシャドウコピーがあれば一般ユーザーがこれらのファイルを読めると説明しています。89
ハイブファイルは起動時にメモリへ読み込まれ、稼働中のWindowsが使っているファイルです。1 ボリュームシャドウコピーサービス（VSS）は、ボリュームのある時点の一貫したコピーを作る仕組みで、作られたシャドウコピーは読み取り専用です。復元ポイントもこの仕組みを使います。Microsoftは、バックアップアプリケーションがロックされたファイルや実行中のファイルを読むためにもシャドウコピーを使うと説明しています。1415 稼働中のハイブファイルではなく、ある時点のシャドウコピーに残った同じファイルが読み取りの対象になったと考えられます。16
flowchart TB
accTitle: 稼働中のファイルとシャドウコピー
accDescr: 稼働中のWindowsが使うハイブファイルとは別に、シャドウコピーにはある時点のファイルとアクセス権が読み取り専用で残ることを示します。
A["システムドライブ"] --> B["稼働中のハイブファイル"]
A --> C["シャドウコピー（ある時点のコピー）"]
B --> D["Windowsが使用中"]
C --> E["読み取り専用で残るファイル"]
E --> F["Usersが読めるアクセス権も残る"]
図5: シャドウコピーには作られた時点のファイルがアクセス権ごと残ります。1417
更新だけでは直らなかった理由
2021年8月の更新はSAMを含む特定のシステムファイルのACLを修正しました。ただし、%windir%\system32\configのすべてのファイルのACLを直したわけではありません。Microsoftは予期しない動作を避けるためだと説明しています。18
更新が直すのは、稼働中のファイルのアクセス権です。シャドウコピーは読み取り専用なので、更新より前に作られたシャドウコピーには、緩いアクセス権のままのファイルが残ります。144 CERT/CCは、ACLを直したあとに新しく作られたシャドウコピーは正しいACLを持つと説明しています。17 そのためMicrosoftは更新のあとでシステムボリュームのシャドウコピーをすべて削除しなければ完全には緩和されないとしています。4
更新が削除まで行わなかった理由について、Microsoftは利用者のデータのシャドウコピーを本人の同意なく削除しないためだと説明しています。18
flowchart TB
accTitle: 更新の前後でシャドウコピーに残るもの
accDescr: 更新で稼働中のファイルのACLは直るが、更新前に作られたシャドウコピーには緩いACLのファイルが残り、削除して作り直すまで読み取りの経路が残ることを示します。
A["更新前に作られたシャドウコピー"] --> B["緩いACLのファイルが残る"]
C["2021年8月の更新"] --> D["稼働中のファイルのACLを修正"]
D --> E{"古いシャドウコピーを削除したか"}
E -->|"していない"| B
E -->|"した"| F["新しいシャドウコピーは正しいACL"]
図6: 更新は稼働中のファイルを直し、古いシャドウコピーの削除は利用者に任されました。41817
4. 影響
Microsoftは、悪用に成功した攻撃者がSYSTEM権限で任意のコードを実行でき、プログラムのインストール、データの閲覧・変更・削除、すべての権限を持つアカウントの作成ができるとしています。4
CERT/CCはこれらのファイルを読めることで起こりうる影響として次を挙げています。8
- アカウントのパスワードのハッシュを取り出して使うこと
- Windowsのインストール時のパスワードを知ること
- コンピューターのDPAPIの鍵を手に入れ、コンピューターの秘密鍵をすべて復号すること
- コンピューターアカウントを手に入れ、シルバーチケット攻撃に使うこと
影響はそのPCの中だけで終わるとは限りません。Microsoftは、ローカル管理者アカウントが多くの端末で同じパスワードを共有していることが多く、攻撃者はそれを利用して横展開すると説明しています。19 取り出したハッシュと同じパスワードがほかのPCのローカル管理者にも使われていれば、被害はそのPCの外へ広がりえます。20
flowchart TB
accTitle: SAMを読めたことから広がる影響
accDescr: SAMなどを読めると、そのPCでの権限昇格に加え、ローカル管理者のパスワードを共有するほかのPCへの横展開につながりうることを示します。
A["SAMなどのファイルを読める"] --> B["パスワードのハッシュを取り出せる"]
A --> C["DPAPIの鍵やコンピューターアカウントの情報"]
B --> D["そのPCで権限を上げる"]
B -.->|"同じパスワードを使い回していれば"| F["ほかのPCへ横展開"]
図7: ローカル管理者のパスワードの使い回しがあると、1台の権限昇格がほかのPCへ広がりえます。819
5. 対策
2021年8月以降の更新を適用する
まず、対象のバージョンに2021年8月のセキュリティ更新（KB5005030、KB5005031、KB5005033）以降の更新を適用します。107 更新できない場合の回避策として、Microsoftは管理者のコマンドプロンプトで次のコマンドを実行し、%windir%\system32\configの中身へのアクセスを制限するよう案内していました。21
icacls %windir%\system32\config\*.* /inheritance:e
回避策を使う場合も、更新を適用する場合も、それだけでは足りません。Microsoftはアクセスを制限することとシャドウコピーを削除することの両方が必要だとしています。21
更新のあとでシャドウコピーを削除する
KB5005357はシステムドライブのシャドウコピーを一覧し、削除する手順を示しています。どちらも管理者のコマンドプロンプトで実行します。22
vssadmin list shadows /for=%systemdrive%
vssadmin delete shadows /for=%systemdrive% /Quiet
削除のあとにもう一度vssadmin list shadowsを実行し、「No items found that satisfy the query.」と表示されれば、システムドライブにシャドウコピーは残っていません。22
削除には影響があります。削除したシャドウコピーに依存する復元ポイントは使えなくなり、シャドウコピーを直接使うアプリケーションも以前の復元ポイントにアクセスできなくなります。15 削除したシャドウコピーは元に戻せません。23 削除の前に、どのバックアップがシャドウコピーに頼っているかを確かめておく必要があります。
flowchart TB
accTitle: シャドウコピーを削除する手順
accDescr: 更新を適用し、シャドウコピーを一覧して影響を確かめ、削除して空になったことを確認し、必要なら新しい復元ポイントを作る手順を示します。
A["2021年8月以降の更新を適用"] --> B["シャドウコピーを一覧する"]
B --> C["依存する復元ポイントやバックアップを確かめる"]
C --> D["シャドウコピーを削除する"]
D --> E{"一覧が空になったか"}
E -->|"残っている"| F["バックアップ製品などの管理対象を確認"]
E -->|"空"| G["必要なら新しい復元ポイントを作る"]
図8: 新しい復元ポイントは脆弱性に対処してから作ります。2224
vssadmin delete shadowsで削除できるのは、クライアントアクセス可能な種類のシャドウコピーだけです。それ以外のシャドウコピーはdiskshadowで管理します。23 Windows Serverでは、wbadminのようにほかのバックアップ製品が作ったシャドウコピーは、その製品の中で管理する必要があります。25
新しい復元ポイントが必要なら、削除のあとで作ります。KB5005357はPowerShellのCheckpoint-Computerで作れることと、脆弱性に対処してから作る必要があることを示しています。24
バックアップから戻したあとにACLを確かめる
Microsoftはバックアップからシステムを復元すると緩いACLも戻り、影響を受ける状態に戻りうると注意しています。復元のあとは、ACLが正しいことを確かめる必要があります。21 確かめ方は前の節で示したicaclsのコマンドと同じです。
flowchart TB
accTitle: バックアップから戻したあとの確認
accDescr: 更新前のバックアップから復元すると緩いACLが戻りうるため、復元のあとでicaclsによりACLを確かめ、必要なら更新とシャドウコピーの削除をやり直すことを示します。
A["バックアップからシステムを復元"] --> B["icaclsでACLを確かめる"]
B --> C{"Usersの読み取り権限があるか"}
C -->|"ない"| D["影響を受けない状態"]
C -->|"ある"| E["更新を適用し直す"]
E --> F["シャドウコピーを削除し直す"]
図9: 復元は更新前のアクセス権まで戻してしまうことがあります。21
ローカル管理者のパスワードを端末ごとに変える
CVE-2021-36934の告知が求める対策ではありませんが、影響の広がりを抑える手段としてWindows LAPSがあります。Windows LAPSは端末ごとにローカル管理者のパスワードを定期的に変更して保管する機能で、MicrosoftはPass-the-Hashや横展開の攻撃への保護を利点に挙げています。19 導入の手順はWindows LAPS実務ガイドで説明しています。
flowchart TB
accTitle: HiveNightmareへの対策の全体
accDescr: 更新の適用、シャドウコピーの削除、復元後のACLの確認を順に行い、ローカル管理者のパスワードの管理は影響の広がりを抑える別の対策として加えることを示します。
A["2021年8月以降の更新"] --> B["シャドウコピーの削除"]
B --> C["復元後のACLの確認"]
C -.->|"影響の広がりを抑える別の対策"| D["Windows LAPSでパスワードを端末ごとに変える"]
図10: 告知が求める三つの対策と、横展開を抑える対策を分けて考えます。2119
6. 教訓
ここからは、公開された経緯と対策から導いた設計・運用上の考察です。
HiveNightmareでは、更新が稼働中のファイルのアクセス権を直しても、シャドウコピーに残った古いアクセス権は直りませんでした。復元のあとにもACLの確認が求められています。421 このことから、ファイルのアクセス権を直すときは、そのファイルのコピーを持つ仕組みまで含めて考える必要があると読み取れます。シャドウコピーやバックアップは、作られた時点の中身だけでなく、作られた時点のアクセス権も保存しているからです。
Microsoftは利用者のデータを同意なく削除しないために、シャドウコピーの削除を利用者に任せました。18 更新のあとに手作業が要る脆弱性では、更新を適用した記録だけを見ても、対策済みかを判断できません。告知に「更新だけでは足りない」と書かれているかを確かめ、残りの手順を点検の項目に入れておく必要があります。
この脆弱性で攻撃者が得たのは、ローカルでの権限昇格です。5 それでもローカル管理者のパスワードが端末間で共有されていれば、1台で取り出したハッシュがほかの端末にも通用しえます。19 権限昇格の脆弱性は1台の問題に見えますが、端末ごとに異なる資格情報を使っているかが被害の範囲を左右します。
この記事は公開された一次資料に基づいて仕組みと対策を説明したものです。シャドウコピーからファイルを読み取る操作や、権限昇格の再現は行っていません。
関連記事
- ボリュームシャドウコピー(VSS)の仕組みと実務
- Windows LAPS実務ガイド
- 「同じPC」は同じ実行環境ではない
- 図解でわかるNTLMとKerberos
- PetitPotamはなぜドメインコントローラーの認証をAD CSへ中継できたのか？
参考リンク
本文・表・図の脚注とFAQの出典リンクから、根拠となる資料の節や項目へたどれます。資料から組み立てた説明と設計上の考察は、その旨を脚注にも記しています。確認日は2026年11月1日です。
-
Microsoft Learn, Registry Hives. 参照箇所: 冒頭の
a set of supporting files loaded into memory when the operating system is started or a user logs in、Most of the supporting files for the hives are in the %SystemRoot%\System32\Config directory、標準のハイブとファイルの表（HKEY_LOCAL_MACHINE\SAMのSam、HKEY_LOCAL_MACHINE\SecurityのSecurity、HKEY_LOCAL_MACHINE\SystemのSystem）。 ↩ ↩2 ↩3 ↩4 -
Microsoft Learn, Credentials Processes in Windows Authentication. 参照箇所:
Security Accounts Manager databaseの節のa database that stores local user accounts and groups、the LSA can validate user information by checking the Security Accounts Manager (SAM) database、The Registry contains a copy of the SAM database, local security policy settings, default security values, and account information that is only accessible to the system。 ↩ ↩2 -
CERT Coordination Center, VU#506989: Microsoft Windows 10 gives unprivileged user access to system32\config files. 参照箇所:
OverviewのMultiple versions of Windows 10 grant non-administrative users read access to files in the %windir%\system32\config directoryと、公開日（2021-07-20）。 ↩ ↩2 -
Microsoft Security Response Center, CVE-2021-36934の機械可読データ. 参照箇所:
descriptionの検索語overly permissive Access Control Lists (ACLs) on multiple system files, including the Security Accounts Manager (SAM) database、run arbitrary code with SYSTEM privileges、must have the ability to execute code on a victim system、Simply installing this security update will not fully mitigate this vulnerability。 ↩ ↩2 ↩3 ↩4 ↩5 ↩6 ↩7 ↩8 ↩9 ↩10 ↩11 ↩12 -
Microsoft Security Response Center, CVE-2021-36934の機械可読データ（Security Update Guide）. 参照箇所:
cveTitle、releaseDate、severity、impact、baseScore、vectorString、exploited、publiclyDisclosed、latestSoftwareRelease。名称、2021年7月20日の公開、Important、権限昇格、CVSS 3.1基本値7.8と攻撃元区分がローカル（AV:L）であること、公開時点の悪用「なし」と一般への公開「あり」、「Exploitation More Likely」の根拠です。 ↩ ↩2 ↩3 ↩4 ↩5 ↩6 ↩7 ↩8 -
CERT Coordination Center, VU#506989. 参照箇所:
Descriptionのpublicly referred to as both HiveNightmare and SeriousSAM。 ↩ -
Microsoft Security Response Center, CVE-2021-36934の機械可読データ. 参照箇所:
revisions配列。版3（2021年7月23日、Windows Server, version 20H2のServer Coreを除外）、版4（2021年7月27日、Removed Windows Server versions from the Security Updates table as they are not affected）、版5（2021年8月10日、releasing the August 2021 security updates）。 ↩ ↩2 ↩3 -
CERT Coordination Center, VU#506989. 参照箇所:
Descriptionのthe BUILTIN\Users group is given RX permissions、If a VSS shadow copy of the system drive is availableと続く影響の箇条書き（Extract and leverage account password hashes、Discover the original Windows installation password、Obtain DPAPI computer keys、Obtain a computer machine account, which can be used in a silver ticket attack）、larger that 128GB in size and then performing a Windows Update or installing an MSI。 ↩ ↩2 ↩3 ↩4 ↩5 ↩6 ↩7 ↩8 ↩9 -
CISA, Known Exploited Vulnerabilities Catalogの公式JSON. 参照箇所:
cveIDがCVE-2021-36934の要素のvulnerabilityName（Microsoft Windows SAM Local Privilege Escalation Vulnerability）、dateAdded（2022-02-10）、shortDescriptionのIf a Volume Shadow Copy (VSS) shadow copy of the system drive is available, users can read the SAM file。 ↩ ↩2 ↩3 -
Microsoft Security Response Center, CVE-2021-36934の影響を受ける製品の機械可読データ. 参照箇所: 各要素の
product、kbArticlesのarticleNameとfixedBuildNumber。バージョンごとに32ビット・ARM64・x64の項目があり、確認日時点の一覧ではバージョン20H2のx64の項目が見当たりませんでした。本文ではバージョン単位でまとめています。 ↩ ↩2 ↩3 -
Microsoft Learn, System Restore points are disabled after you upgrade to Windows 10. 参照箇所:
More informationのif the size of the operating system disk is greater than 128 gigabytes (GB), a restore point is automatically created。CERT/CCの説明もこの記事を参照しています。 ↩ -
CERT Coordination Center, VU#506989. 参照箇所:
DescriptionのTo check if a system is vulnerable, the following command can be used from a non-privileged command prompt、A vulnerable system will report BUILTIN\Users:(I)(RX)、A system that is not vulnerable will report output like this（Access is denied.）。 ↩ ↩2 ↩3 -
Microsoft Learn, icacls. 参照箇所:
Remarksの(I) - Inherit. ACE inherited from the parent containerとRX - Read and execute access。 ↩ -
Microsoft Learn, Volume Shadow Copy Service (VSS). 参照箇所: 検索語
a consistent shadow copy (also known as a snapshot or a point-in-time copy)、利用場面のSystem Restore、Shadow copies are read-only。 ↩ ↩2 ↩3 -
Microsoft Support, KB5005357: Delete Volume Shadow Copies. 参照箇所:
What are Volume Shadow Copies and where are they used?のread and backup locked or running files、you will lose access to the previous restore points if Volume Shadow Copies are deleted、If you are using a backup application that creates a backup outside of Volume Shadow Copy, you should not be affected。 ↩ ↩2 -
この段落の最後の文は、CERT/CCとCISAが悪用の条件としてシャドウコピーの存在を挙げていること、Registry Hivesのハイブファイルが起動時に読み込まれるという説明、KB5005357の
read and backup locked or running filesから組み立てた説明です。稼働中のファイルを直接読めない理由を、Microsoftの文書が明記しているわけではありません。 ↩ -
CERT Coordination Center, VU#506989. 参照箇所:
SolutionのNewly-created shadow copies, which will contain the proper ACLs, will function as expected。 ↩ ↩2 ↩3 -
Microsoft Security Response Center, CVE-2021-36934の機械可読データ. 参照箇所:
articles配列のFAQ。検索語To avoid deleting data without users' consentとdoes not correct the ACLs on every file in %windir%\system32\config。 ↩ ↩2 ↩3 ↩4 -
Microsoft Learn, What is Windows LAPS?. 参照箇所: 冒頭の
Local administrator accounts often share the same password across many devices, which bad actors can exploit to move laterally、BenefitsのProtection against pass-the-hash and lateral-traversal attacks。 ↩ ↩2 ↩3 ↩4 ↩5 -
この文は、CERT/CCが挙げた
Extract and leverage account password hashesと、Windows LAPSの概要のLocal administrator accounts often share the same password across many devicesから組み立てた説明です。CVE-2021-36934の告知が横展開を明記しているわけではありません。 ↩ -
Microsoft Security Response Center, CVE-2021-36934の機械可読データ. 参照箇所:
articles配列のWorkaround。検索語Restrict access to the contents of %windir%\system32\config、icacls %windir%\system32\config\*.* /inheritance:e、You must restrict access and delete shadow copies、Note 2のEven after installing this security update, you must delete all shadow copies of your system volume、Impact of workaroundのrestore data with third-party backup applications、Restoring your system from a backup could also restore the overly permissive ACLs。 ↩ ↩2 ↩3 ↩4 ↩5 ↩6 -
Microsoft Support, KB5005357. 参照箇所:
How can I view the current Volume Shadow Copiesのvssadmin list shadows /for=%systemdrive%、How can I delete Volume Shadow Copies?のvssadmin delete shadows /for=%systemdrive% /QuietとNo items found that satisfy the query.。 ↩ ↩2 ↩3 -
Microsoft Learn, vssadmin delete shadows. 参照箇所: 冒頭の
You can only delete shadow copies with the client-accessible type、Use the diskshadow command instead、Examplesの注意Deleting a shadow copy is permanent。 ↩ ↩2 -
Microsoft Support, KB5005357. 参照箇所:
What is the process to create a new System Restore Point?のCheckpoint-Computerと、you will need to address the vulnerability or issue before creating a new System Restore Point or backup。 ↩ ↩2 -
Microsoft Support, KB5005357. 参照箇所:
Why am I not able to delete all Volume Shadow Copies on my Windows Server device?のVolume Shadow Copies created by wbadmin must be managed within that application。 ↩
関連する記事
同じタグを共有する最新の記事です。さらに近い話題で知識を深められます。
PetitPotamはなぜドメインコントローラーの認証をAD CSへ中継できたのか？
PetitPotam（CVE-2021-36942）は、ドメインコントローラーにNTLM認証を送らせ、AD CSのWeb登録へ中継させる攻撃でした。誘発と中継の仕組み、影響、更新に加えて必要なEPAとNTLM制限を解説します。
Outlookはなぜメールを開く前にNTLM応答を送ったのか？
CVE-2023-23397では、細工されたメッセージを未修正のWindows版Outlookが処理すると、利用者の操作なしに外部へのNet-NTLMv2応答送信が起き得ました。仕組み、影響、現在の対策と調査の要点を解説します。
MS14-068で普通のユーザーが管理者になれた理由 ── KerberosのPACと署名検証
MS14-068（CVE-2014-6324）では、一般ユーザーが偽ったグループ情報をKDCが受け入れ、ドメイン管理者として扱われ得ました。PAC、鍵付き署名とチェックサムの違い、権限への反映、修正と検知の限界を解説します。
CurveBall――偽の証明書を、なぜWindowsが信頼してしまったのか？ ── CryptoAPIと楕円曲線のパラメーター
CurveBall（CVE-2020-0601）は、偽の証明書を信頼された認証局のものと取り違えるWindowsの脆弱性でした。公開鍵の点と基準点の関係から、署名の計算が正しくても信頼の判定が崩れる理由を解説します。
PrintNightmareはなぜSYSTEM権限を奪えたのか？ ── 印刷スプーラーとドライバー導入の境界
PrintNightmare（CVE-2021-34527）は、印刷スプーラーのドライバー導入機能からSYSTEM権限のコード実行に至る脆弱性でした。通常の印刷との違い、DLLが実行される過程、Point and Printとの関係、2021年の対策を解説します。
関連トピック
このテーマと近いトピックページです。記事を起点に、関連するサービスや他の記事へ進めます。
Windows技術トピック
Windows 開発、不具合調査、既存資産活用の技術トピックをまとめた入口です。
このテーマがつながるサービス
この記事は次のサービスページにつながります。近い入口からご覧ください。
Windowsアプリ開発
業務アプリ、装置連携、通信ツールなどの Windows ソフト開発を支援します。
よくある質問
この記事のテーマについて、相談時によくある質問をまとめています。
- 2021年8月のセキュリティ更新を入れれば、HiveNightmareの対策は終わりですか？
- 終わりではありません。Microsoftは、更新を入れたあとにシステムボリュームのシャドウコピーをすべて手動で削除しなければ、完全には緩和されないと明記しています。更新が直すのは稼働中のファイルのアクセス権で、それ以前に作られたシャドウコピーの中身は変わらないためです。
参考情報
- シャドウコピーを削除すると、何が使えなくなりますか？
- 削除したシャドウコピーに依存する復元ポイントが使えなくなります。Microsoftは、他社製のバックアップアプリケーションでの復元にも影響しうるとしています。一方、シャドウコピーを使わずにバックアップを作るアプリケーションは影響を受けないと説明しています。
参考情報
- 自分のPCが影響を受ける状態かは、どう確かめますか？
- 管理者でないコマンドプロンプトで icacls %windir%\system32\config\sam を実行します。CERT/CCによると、影響を受ける状態では出力に BUILTIN\Users:(I)(RX) が含まれ、そうでなければアクセスが拒否されます。シャドウコピーの有無は管理者のコマンドプロンプトで vssadmin list shadows を実行して確かめます。
参考情報
- Windows Serverも対象ですか？
- Microsoftの更新対象はWindows 10のバージョン1809から21H1までで、Windows Serverは含まれていません。公開後の改訂で、影響を受けないとしてWindows Serverの各バージョンが一覧から外されました。
参考情報