複数フェーズで成り立つ「Active Directoryの脆弱性対策」とは――その意図は？ 詳細は？：安全なActive Directory運用のために

脆弱性に対しセキュリティ強化を一気に進めると「認証拒否」が発生し、結果、情報システムの利用不可といった障害につながる場合があります。そのため、セキュリティ強化を複数のフェーズに分けて、段階的に進めることが重要になります。本稿では、複数のフェーズを持つActive Directoryの脆弱性対策を紹介します。

[指崎則夫，デル・テクノロジーズ株式会社]

複数フェーズで対策が必要な脆弱性は3種類

　Microsoftの「Active Directory」に関して、複数のフェーズを持つ脆弱（ぜいじゃく）性対策（もしくは更新プログラムの適用）は大きく分けて3種類に分類できます。

• KerberosのPrivilege Attribute Certificate（PAC）フィールド
• Netlogonプロトコル
• 証明書認証

　本稿では日本マイクロソフトの公式ブログ「Microsoft Japan Windows Technology Support Blog」を出典元として、特に認証に影響があり、かつ複数の適用フェーズを持つ更新プログラムの有無を確認してまとめました。また、個々のKB（Knowledge Base）番号や脆弱性番号も出典元にリンクしてあります。

• Microsoft Japan Windows Technology Support Blog（日本マイクロソフト）

　なお、上記の公式ブログでは、脆弱性が複数のKB番号の場合と、単一のKB番号に集約できる場合の説明パターンがあります。そのため、本稿では、脆弱性番号とKB番号を織り交ぜて表記することになり、分かりにくい部分が出てくることがあることをご了承ください。

KerberosのPACフィールドに影響する脆弱性対策

　KerberosのPACフィールドに影響する脆弱性は、Kerberos認証で使われる「Ticket Granting Ticket」（TGT）や「サービスチケット」に含まれる「PACフィールド」を悪用するものです。

　Kerberosのチケットはおおよそ7日間使えることから、このような複数フェーズの対策を採っていると考えられます。

　この種類の脆弱性は、3種類あります。新しい順に紹介します。

• （1）KB5037754に関連付けられるCVE-2024-26248およびCVE-2024-29056
• （2）CVE-2022-37966、CVE-2022-37967、CVE-2022-41053
• （3）CVE-2021-42287

（1）KB5037754に関連付けられるCVE-2024-26248およびCVE-2024-29056の脆弱性対策