Microsoftワイヤレスディスプレイアダプター。ラップトップG7
Microsoft Wireless Display Adapter V2は、コマンドインジェクションの脆弱性、アクセス制御の破損の脆弱性、および悪魔の双子攻撃の脆弱性の3つの脆弱性と診断されています。最初の脆弱性は、Microsoft Wireless Display Adapter V2ソフトウェアバージョン2.0.8350〜2.0.8372でのみテストされており、この範囲のすべてのバージョンに影響を与えることがわかっています。壊れたアクセス制御と邪悪な双子攻撃の脆弱性は、テストされた範囲のソフトウェアバージョン2.0.8350にのみ影響を与えることがわかっています。ソフトウェアの他のバージョンはテストされておらず、脆弱性はまだ悪用されていません。コマンドインジェクションの脆弱性にはラベルが割り当てられています CVE-2018-8306 、そしてそれは比較的中程度のリスク評価を与えられています。
Microsoft Wireless Display Adapterは、Miracast対応のMicrosoftWindowsデバイスからの画面のブロードキャストを可能にするハードウェアデバイスです。このメカニズムは、Wi-FiDirect接続とMiracastオーディオ/ビデオ伝送チャネルを利用して画面をブロードキャストします。このプロセスは、セキュリティを強化するために使用されているWi-Fi接続の暗号化に従ってWPA2で暗号化されます。
デバイスをディスプレイとペアリングするために、メカニズムはプッシュボタン接続とPIN接続の両方を提供します。接続が確立されると、それ以降の接続ごとにデバイスを検証する必要はありません。
以前に達成されたこの認証を続行すると、ディスプレイアダプタの名前が「NewDeviceName」パラメータに設定されている場合にコマンドインジェクションの脆弱性が発生する可能性があります。文字がコマンドラインスクリプトをエスケープする状況を作成すると、デバイスはブートループに設定され、正常に機能しなくなります。この脆弱性の影響を受けるスクリプトは、「/ cgi-bin /msupload.sh」スクリプトです。
2番目の脆弱性であるアクセス制御の破損は、プッシュボタン構成方法をデバイスのペアリングに使用する場合に発生する可能性があり、PIN検証のためにデバイスに物理的にアクセスする必要がなく、デバイスがワイヤレス範囲内にある必要があります。この方法で最初の接続が確立されると、後続の接続は検証を必要とせず、侵害されたデバイスが無制限に制御できるようになります。
3番目の脆弱性である悪魔の双子攻撃は、攻撃者が正当なMSWDAに接続し、攻撃者自身のMSWDAのみをユーザーが接続できるようにすることで、ユーザーを操作してMSWDAデバイスに接続する場合に発生します。接続が確立されると、ユーザーは自分が間違ったデバイスに接続したことを知らず、攻撃者はユーザーのファイルとデータにアクセスして、自分のデバイスでコンテンツをストリーミングします。
マイクロソフトは最初に21日に連絡を受けましたstこの一連の脆弱性に関する3月の。 CVE番号は19日に割り当てられましたth6月のファームウェアアップデートは10日にリリースされましたth7月の。それ以来、マイクロソフトはちょうど今、その公開を発表しました アドバイザリー 。これらの脆弱性は、Microsoft Wireless Display Adapter V2ソフトウェアのバージョン2.0.8350、2.0.8365、および2.0.8372に集合的に影響を及ぼします。
マイクロソフトによって「重要」とラベル付けされたセキュリティ更新プログラムは、発行されたセキュリティ情報の一部として、Webサイトで3つのバージョンすべてで利用できます。提案されている別の緩和策では、ユーザーがMicrosoft Wireless Display Adapter Windowsアプリケーションを開き、[セキュリティ設定]タブの[PINコードとペアリング]の横にあるチェックボックスをオンにする必要があります。これにより、画面を表示してPINコードを照合するためにデバイスへの物理的なアクセスが必要になり、不要なワイヤレスで到達可能なデバイスがセットアップに簡単に接続されないようになります。 3つのバージョンに影響を与える脆弱性が与えられました CVSS 3.0 基本スコアはそれぞれ5.5、時間スコアはそれぞれ5です。
