ニュース

Razer製デバイスを接続するだけでシステム権限を取得できる脆弱性

  • 劉 尭

2021年8月23日 12:55

　Twitterユーザー“jonhat”氏は、Razerのデバイスを接続するだけでWindowsのシステム権限を取得できてしまう脆弱性を報告している。既に複数の海外メディアで報じられている。

　Razer製デバイスをWindows 10のPCに接続すると、Windows Update経由でドライバがダウンロードされるのだが、その中で「Razer Synapse」などのユーティリティをインストールするためのインストーラが自動で立ち上がる仕組みが用意されている。問題は、このインストーラがシステム権限で起動していることだ。

　このインストーラではインストール先を自由に変更できるのだが、その際のフォルダ選択ウィンドウで任意のフォルダを選択して、Shift+右クリックでコンテキストメニューを出して「PowerShellウィンドウをここで開く」と選択すると、システム権限を持つPowerShellが立ち上がってしまう。こうすると攻撃者はシステムに対し自由に攻撃を行なうことが可能となる。

　もちろん、攻撃者はローカルで攻撃をする必要があるが、難易度が低い上に、Razer製デバイスを所持していなくてもデバイスIDを偽装した攻撃が行なえるため、MicrosoftならびにRazerには早急な対策に期待したい。