Microsoftは、2022年1月の月例セキュリティアップデートの一貫として、Windowsにおけるローカル特権昇格の脆弱性（CVE-2022-21882）に対する修正プログラムをリリースした。CVE-2022-21882は、対象のWindows PCにおいて管理者ではないユーザが不正に管理者権限を取得できてしまうという脆弱性である。

Security Affairsは1月30日、セキュリティ研究者のRyeLv氏によってこの脆弱性に関するエクスプロイトが公開されたことを伝えている。

MicrosoftによるCVE-2022-21882に関するセキュリティアドバイザリは次のページで確認することができる。

これによると、ローカルでWindows PCにログイン可能なユーザーが、Win32k.sysドライバーの脆弱性を悪用して管理者権限と取得し、対象のシステムを制御することができるという。これに対する修正プログラムは、前述のように2022年1月の月例セキュリティアップデートの一部として1月11日にリリースされている。

RyeLv氏によるエクスプロイトは、Googleのセキュリティ分析チーム「Project Zero」によって運営されているゼロデイ脆弱性に関する情報共有リポジトリ「0-days In-the-Wild」で、詳細な分析として公開された。全文は次のページで読むことができる。

  • CVE-2022-21882: Win32k Window Object Type Confusion

    CVE-2022-21882: Win32k Window Object Type Confusion

SecurityAffairsによると、複数の専門家がこのエクスプロイトが正しく機能することを確認したとのこと。まだ2022年1月のセキュリティアップデートをインストールしていない場合は、この脆弱性を悪用した攻撃を防ぐために、できるだけ早くインストールすることが推奨される。