概要
MicrosoftのBitLockerドライブ暗号化機能に、攻撃者が暗号化保護を迂回できる可能性のある2つの新たな脆弱性が開示されました。
これらの脆弱性は、CVE-2025-55333とCVE-2025-55338として追跡されており、不完全な比較ロジックと設定の弱点に関係しています。これにより、ローカルの低権限ユーザーがBitLockerの保護を侵害する可能性があります。
BitLockerは、ボリューム全体を暗号化し、TPMキーやPINなどの認証要素を要求することで、保存データを保護するように設計されています。両CVEは、暗号化ポリシーとキー使用規則を検証するコンポーネントを標的としています。
脆弱性の詳細
これらの脆弱性を悪用することで、デバイス上で限定的なコード実行権限を持つ攻撃者は、BitLockerを欺いて不正な要求を正当なものとして扱わせ、適切な資格情報なしにボリュームを復号化したり、暗号化キーを公開したりする可能性があります。
CVE-2025-55333は、ポリシー評価コードにおける「不完全な比較と欠落した要素」に起因します。脆弱なロジックは、復号化要求を承認する前に、必要なすべての属性を検証することに失敗します。
CVE-2025-55338も同様の迂回経路を共有しており、特定のコマンド引数を処理する際のポリシーチェックが不十分であることを示しています。
両脆弱性には「重要」の深刻度評価が付けられており、CVSS v3.1ベーススコアはネットワーク隣接攻撃で6.1、ローカル攻撃で5.3です。これは、悪用は中程度の複雑さであるものの、データ機密性と整合性への潜在的な影響が高いことを示しています。
マイクロソフトによるパッチと推奨される対策
Microsoftは両脆弱性を内部CNAに割り当て、2025年10月14日にパッチをリリースしました。
管理者は、直ちに10月の累積セキュリティ更新プログラムを適用することが強く推奨されます。このパッチは、完全な要素検証を強制することで比較ロジックを修正し、BitLockerのコマンド処理ルーチンを更新して不正な要求を拒否するようにします。
更新プログラムが適用されるまでの間、組織は以下の対策を講じるべきです。
- ローカルアカウントの作成を制限し、不要なBitLocker管理権限を削除する。
- 不審なBitLockerコマンド実行やオペレーティングシステムログを監視し、迂回試行を検出する。
- BitLockerが有効になっているすべてのWindowsインストールが10月のパッチで更新されていることを確認する。
- グループポリシー設定を確認し、TPM、PIN、スタートアップキーを含むBitLocker認証要素が厳密に適用されていることを確認する。
- 信頼できないアカウントがBitLocker管理ツールを実行できないように、ローカルユーザーの権限を制限する。
- これらの新しいCVEを脆弱性スキャンワークフローに組み込み、環境全体での修正を検証する。
結論
Windows BitLockerは、適切に構成されパッチが適用されていれば堅牢な暗号化ソリューションであり続けます。しかし、これらの脆弱性は、成熟したセキュリティ機能であっても、新たな迂回技術に先行するために継続的なレビューとタイムリーな更新が必要であることを示しています。