KB5022725: 2022 年 10 月以降のセキュリティ更新プログラムに実装されている、Internet Explorer イベント ログのアクセス許可に関する動作変更

要約

Internet Explorer のイベント ログには、カスタム セキュリティ記述子 (CustomSD) が定義されています。これにより、認証されたドメイン ユーザー (管理者以外) は、イベント ログへのハンドルを接続して受信できます。 これにより、ドメイン内の認証されたユーザーは、別のデバイス、別のドメイン参加済みデバイス、または別のドメイン コントローラー上であっても、イベント ログへのハンドルを受け取り、ログ ファイルをイベント ログに書き込むことができます。 この動作により、ターゲット デバイスのストレージ システムがリモートで認証されたユーザーでいっぱいになってしまう可能性があるため、一時的なサービス拒否を引き起こす可能性があります。 これにより、不要なファイルが削除されるまでデバイスを使用できなくなる可能性があります。

CVE-2022-37981 は、ドメイン ユーザー アカウントが Internet Explorer のイベント ログにアクセスすることを制限する動作の変更を実装します。 この動作の変更は、2022 年 10 月以降の Windows セキュリティ更新に含まれています。

この動作の変更により、次のことが可能になります。

• ドメイン管理者にすべてのアクセスを許可する

• ローカル管理者にすべてのアクセスを許可する

• ドメイン ユーザーにすべてのアクセスを拒否する

• すべてのユーザーにすべてのアクセスを許可する

回避策

2022 年 10 月のセキュリティ更新プログラム パッケージをインストールする前の動作に戻すには、レジストリ内の Internet Explorer セキュリティ記述子を変更します。

次の CustomSD 値を変更します。

O:BAG:SYD:(A;;0x07;;;WD)S:(ML;;0x1;;;LW)

次の CustomSD 値:

O:BAG:SYD:(A;;0x07;;;DA)(A;;0x07;;;LA)(D;;0x07;;;DU)(A;;0x07;;;WD)S:(ML;;0x1;;;LW)

詳細情報

2022 年 10 月のセキュリティ更新プログラム パッケージをインストールする前とインストール後の動作を次に示します。

2022 年 10 月のセキュリティ更新プログラム パッケージをインストールすると、ドメイン ユーザーはドメイン コントローラーの Internet Explorer イベント ログにアクセスできなくなります。 この動作の変更により、一時的な分散型サービス拒否が回避されます。 ただし、ドメイン コントローラーの管理者アカウントは CustomSD 値を必要に応じて任意のアプリケーション ロジックのために以前の値に変更できます。