はじめに
Microsoftのドライブ暗号化機能であるBitLockerに、新たに2つの脆弱性（CVE-2025-55333およびCVE-2025-55338）が発見されました。これらの脆弱性を悪用されると、攻撃者が暗号化保護をバイパスし、Windowsシステム上のデータにアクセスできる可能性があります。
BitLockerは、ドライブ全体を暗号化し、TPMキーやPINなどの認証要素を要求することで、保存データを保護するように設計されています。しかし、今回の脆弱性は、暗号化ポリシーとキー使用規則を検証するコンポーネメントを標的としています。
脆弱性の詳細
今回開示された2つの脆弱性は、不完全な比較ロジックと設定の弱点に起因しており、ローカルの低権限ユーザーがBitLockerの保護を無効にできる可能性があります。
- CVE-2025-55333: ポリシー評価コードにおける「欠落した要素との不完全な比較」に起因します。脆弱なロジックは、復号化要求を承認する前に、必要なすべての属性を検証することに失敗します。
- CVE-2025-55338: Microsoftが公開したアドバイザリでは、CVE-2025-55333と同様のバイパスベクトル文字列が示されており、特定のコマンド引数を処理する際のポリシーチェックが不十分であることが示唆されています。
両方の脆弱性は「重要 (Important)」と評価されており、CVSS v3.1ベーススコアはネットワーク隣接攻撃で6.1、ローカル攻撃で5.3です。これは、悪用の複雑さは中程度であるものの、データの機密性と完全性に対する潜在的な影響が高いことを示しています。
攻撃シナリオ
攻撃者は、これらの「欠落した要素チェック」を悪用することで、デバイス上で限定的なコード実行権限を既に持っている場合、BitLockerを騙して不正な要求を正当なものとして扱わせることができます。これにより、適切な資格情報なしにボリュームを復号化したり、暗号化キーを露出させたりすることが可能になります。
対策と推奨事項
Microsoftは、2025年10月14日にこれらの脆弱性に対するパッチをリリースしました。管理者は、直ちに10月の累積セキュリティ更新プログラムを適用することが強く推奨されます。このパッチは、完全な要素検証を強制することで比較ロジックを修正し、不正な要求を拒否するようにBitLockerのコマンド処理ルーチンを更新します。
更新プログラムが適用されるまでの間、組織は以下の対策を講じるべきです。
- ローカルアカウントの作成を制限し、不要なBitLocker管理権限を削除する。
- 不審なBitLockerコマンド実行やオペレーティングシステムログを監視し、バイパス試行を検出する。
- グループポリシー設定を確認し、TPM、PIN、スタートアップキーを含むBitLocker認証要素が厳密に適用されていることを確認する。
- これらの新しいCVEを脆弱性スキャンワークフローに組み込み、環境全体での修正状況を検証する。
まとめ
BitLockerは適切に設定され、パッチが適用されていれば堅牢な暗号化ソリューションであり続けます。しかし、今回の脆弱性は、成熟したセキュリティ機能であっても、新たなバイパス技術に先行するために継続的なレビューとタイムリーな更新が必要であることを示しています。