知識マップ: HiveNightmareで、なぜ一般ユーザーがSAMを読めたのか？

記事「HiveNightmareで、なぜ一般ユーザーがSAMを読めたのか？」の主張を、概念と関係(エッジ)に分解した知識グラフの全体です。各関係には根拠・確認日・確度が付いています。

CVE-2021-36934はWindows 10でSAMなどのハイブファイルに一般ユーザーの読み取り権限が付いていた脆弱性で、システムドライブのシャドウコピーがあるとそのコピーを読めた。2021年8月の更新は稼働中のファイルのACLを直したが、更新前のシャドウコピーはvssadminで削除する必要がある。影響を受ける状態かはicaclsで確かめられる。ローカル管理者のパスワードの使い回しは横展開の原因になり、Windows LAPSがそれを軽減する。

flowchart LR
    accTitle: HiveNightmareとSAM、シャドウコピーの知識マップ
    accDescr: CVE-2021-36934でSAMなどのハイブファイルが読めた条件としてのVSS、確認に使うicaclsとvssadmin、影響としての権限昇格と横展開、Windows LAPSによる軽減の関係図。
    cve_2021_36934["CVE-2021-36934"]
    sam_database["SAM"]
    vss["VSS(ボリュームシャドウコピーサービス)"]
    privilege_escalation["権限昇格"]
    lateral_movement["横展開(ラテラルムーブメント)"]
    registry_hive["ハイブ"]
    windows_registry["レジストリ"]
    icacls["icacls"]
    vssadmin["vssadmin"]
    system_restore_point["復元ポイント"]
    windows_laps["Windows LAPS"]
    pass_the_hash["Pass-the-Hash"]
    cve_2021_36934 -->|"前提とする"| vss
    cve_2021_36934 -->|"原因になり得る"| privilege_escalation
    cve_2021_36934 -.->|"原因になり得る"| lateral_movement
    sam_database -->|"に保存される"| registry_hive
    windows_registry -->|"に保存される"| registry_hive
    sam_database -->|"で確認できる"| icacls
    icacls -->|"推奨される対応"| cve_2021_36934
    vssadmin -->|"推奨される対応"| cve_2021_36934
    vss -->|"で確認できる"| vssadmin
    system_restore_point -->|"利用する"| vss
    windows_laps -->|"軽減する"| pass_the_hash
    windows_laps -.->|"軽減する"| lateral_movement

概念間の関係(全12件)

図と同じ関係を文章でも列挙します。表示している文と機械可読な意味データ(RDFa)は同じ要素に載っています。確度が「確立した関係」のものは直接の関係として、「条件付きの関係」のものは成立条件つきの言明(rdf:Statement)として表現しています。

• CVE-2021-36934はVSS(ボリュームシャドウコピーサービス)を前提とします。悪用にはシステムドライブのVSSシャドウコピーが存在することが必要だった。シャドウコピーがあれば、一般ユーザーがその中のSAMなどのファイルを読めた。 / 確度: 確立した関係 / 確認日: 2026-11-01 出典 出典
• CVE-2021-36934は権限昇格の原因になることがあります。攻撃者が対象のPCでコードを実行できることを前提に、SYSTEM権限での任意のコード実行につながる権限昇格の脆弱性とされる。 / 確度: 確立した関係 / 確認日: 2026-11-01 出典
• CVE-2021-36934は横展開(ラテラルムーブメント)の原因になることがあります。SAMから取り出したパスワードのハッシュと同じパスワードがほかのPCのローカル管理者にも使われていれば、被害はそのPCの外へ広がりうる。CERT/CCが挙げたハッシュの取り出しと、Windows LAPSの文書の説明から組み立てた記事の説明で、CVEの告知が横展開を明記しているわけではない。 / 確度: 条件付きの関係 / 確認日: 2026-11-01 出典 出典
• SAMはハイブに保存されます。SAMはHKEY_LOCAL_MACHINE\SAMハイブとして、%SystemRoot%\System32\ConfigのSam・Sam.log・Sam.savに保存される。 / 確度: 確立した関係 / 確認日: 2026-11-01 出典 出典
• レジストリはハイブに保存されます。レジストリはハイブという単位でファイルに保存され、その多くは%SystemRoot%\System32\Configにある。 / 確度: 確立した関係 / 確認日: 2026-11-01 出典
• SAMはicaclsで確認できます。管理者ではないコマンドプロンプトでicacls %windir%\system32\config\samを実行し、BUILTIN\Users:(I)(RX)が表示されれば影響を受ける状態、アクセスが拒否されれば影響を受けない状態と見分けられる。 / 確度: 確立した関係 / 確認日: 2026-11-01 出典
• icaclsはCVE-2021-36934に対する本記事の推奨です。更新を遅らせる場合の回避策として、icaclsでsystem32\configの中身へのアクセスを制限するようMicrosoftが案内した。シャドウコピーの削除と組み合わせる必要がある。バックアップから復元したあとも、icaclsでACLを確かめる。 / 確度: 確立した関係 / 確認日: 2026-11-01 出典 出典
• vssadminはCVE-2021-36934に対する本記事の推奨です。2021年8月の更新を適用したあと、vssadminでシステムドライブのシャドウコピーを一覧し、削除する。更新だけでは更新前のシャドウコピーに残ったファイルが読めるままになる。削除したシャドウコピーに依存する復元ポイントは使えなくなる。 / 確度: 確立した関係 / 確認日: 2026-11-01 出典 出典
• VSS(ボリュームシャドウコピーサービス)はvssadminで確認できます。システムドライブのシャドウコピーがあるかは、管理者のコマンドプロンプトでvssadmin list shadowsを実行して確かめられる。 / 確度: 確立した関係 / 確認日: 2026-11-01 出典 出典 出典
• 復元ポイントはVSS(ボリュームシャドウコピーサービス)を利用します。復元ポイントはボリュームシャドウコピーを使う。システムドライブが128GBを超えるPCでは、Windows UpdateやMSIのインストールで自動的に作られることがあり、それが悪用の条件のシャドウコピーになった。 / 確度: 確立した関係 / 確認日: 2026-11-01 出典 出典 出典
• Windows LAPSはPass-the-Hashを軽減します。MicrosoftはWindows LAPSの利点として、Pass-the-Hashや横展開の攻撃への保護を挙げている。 / 確度: 確立した関係 / 確認日: 2026-11-01 出典
• Windows LAPSは横展開(ラテラルムーブメント)を軽減します。ローカル管理者アカウントが多くの端末で同じパスワードを共有していると、攻撃者はそれを利用して横展開できる。Windows LAPSは端末ごとにローカル管理者のパスワードを定期的に変更して保管するので、1台で得たローカル管理者の資格情報をほかの端末で使い回せない。抑えられるのはこの使い回しによる経路で、ほかの経路による横展開まで防ぐわけではない。 / 確度: 条件付きの関係 / 確認日: 2026-11-01 出典

主要概念の定義

CVE-2021-36934

2021年7月に公開されたWindows 10の権限昇格の脆弱性。SAMデータベースを含む%windir%\system32\configのファイルにBUILTIN\Usersの読み取り権限が付いており、システムドライブのシャドウコピーがあれば一般ユーザーがそのコピーを読めた。

SAM

ローカルのユーザーアカウントとグループを保存するWindowsのデータベース。レジストリのHKEY_LOCAL_MACHINE\SAMハイブとして、%SystemRoot%\System32\ConfigのSamファイルに保存される。

VSS(ボリュームシャドウコピーサービス)

稼働中のボリュームについて、ある時点で一貫性のあるスナップショットを取得するWindowsの仕組み。

レジストリ

Windowsが設定情報を階層的なキーと値で保持するシステムのデータストアで、小さなフラグやWindows連携情報の保存に適する。

icacls

DACLの表示・変更を行うコマンドラインツール。/saveでACLをファイルへ保存し/restoreで復元でき、/grant・/remove・/resetなどのオプションを持つ。

vssadmin

現在のボリュームシャドウコピーと、インストールされているシャドウコピーライター・プロバイダーを表示・操作するコマンド。

復元ポイント

システムの復元でシステムをある時点の状態へ戻すための記録。ボリュームシャドウコピーを使って作られる。

Windows LAPS

ローカル管理者アカウントのパスワードを端末ごとにランダム化して自動ローテーションし、Active DirectoryまたはMicrosoft Entra IDにバックアップする、Windowsに組み込まれた機能。

機械可読データ

• JSON-LD / Turtle ── この記事の知識グラフ全体
• 概念一覧 / 語彙(述語)の定義

このデータセットについて

作成

合同会社小村ソフト

ライセンス

CC BY 4.0 ── 出典(合同会社小村ソフト)とライセンスへのリンクを明示し、改変した場合はその旨を示すことを条件に、再配布・改変を含めて再利用できます

最終確認日

2026-11-01 ── 収録する関係のうち、最後に出典と照合した日

このページはサイトの知識グラフ(_data/knowledge/)から自動生成されています。誤りの指摘はお問い合わせからお願いします。