Microsoft、定例アップデートで2年間未修正のWindowsカーネル脆弱性(CVE-2025-24983)を修正

2025年3月、Microsoft(マイクロソフト)は長年放置されていたWindows  カーネルサブシステムの脆弱性(CVE-2025-2498)に対するセキュリティパッチを遂に公開しました。この脆弱性は2023年3月から既に悪用されていたことセキュリティ企業ESETによって明らかにされ、今回のパッチは3月の「Patch Tuesday」で提供されました。

脆弱性 CVE-2025-24983の概要

Windows Win32 カーネル サブシステムの解放後使用により、許可された攻撃者がローカルで権限を昇格できるようになり、CVSS 3で7.0と危険度の高い脆弱性になります。

2023年からゼロデイ攻撃に悪用か

セキュリティ企業のESETは同社のXで、CVE-2025-24983を標的としたゼロデイ攻撃は2023年に初めて確認され、侵害されたマシンのPipeMagicバックドアを通じて展開されました。と指摘しています。

また。Windows 8.1 および Server 2012 R2 をターゲットとし脆弱性の対象OSは、現在もサポートされている Windows Server 2016 を含む、Windows 10 ビルド 1809 より前にリリースされた OS に影響します。

なお、Windows 11 などの最近の Windows OS には影響しないとのこと。

また同社によれば、問題は、特定のシナリオにおいて、WaitForInputIdle API が使用されると、Win32 プロセス構造が「必要以上に」逆参照され、解放後使用が発生することです。しかし、攻撃者が脆弱性に到達するには「競合状態に勝つ必要がある」とESETは説明しています。