【CVE-2024-28047】は、Intel製CPUに搭載されるUEFIファームウェアの処理に存在する脆弱性です。脆弱性を悪用されると、ローカルの特権利用者によって本来アクセスできない情報が読み出され、システムのセキュリティに重大な影響を与える恐れがあります。
主にIntel Xeonシリーズなどのサーバー向けプロセッサーで確認されており、該当環境ではファームウェアやBIOSの更新を速やかに実施することが求められます。
本記事では、【CVE-2024-28047】の概要や深刻度、影響範囲、技術的な内容、想定されるリスク、そして推奨される対策について解説します。
| 本ページには広告が含まれています。本コンテンツ経由で商品・サービスの申込みがあった場合、企業から送客手数料を受け取ることがあります。 |
【CVE‑2024‑28047】概要
UEFI（Unified Extensible Firmware Interface）は、ハードウェアとOSの間で動作するファームウェア規格であり、従来のBIOSに代わって広く利用されています。サーバーやPCの初期化やセキュリティ機能を担う重要なコンポーネントです。
【CVE-2024-28047】は、このUEFIファームウェアにおける入力バリデーションの不備が原因で、ローカルの特権利用者が不正な入力を与えると、想定外の情報を取得できてしまう脆弱性です。
出典：NVD
【CVE‑2024‑28047】CVSSによる深刻度
- CVSS v3.1 スコア：5.3（Medium）※NVD評価
- CVSS v4.0 スコア：6.8（Medium）※NVD評価
- 攻撃条件：ローカルアクセス＋特権利用者権限が必要
- 一部ベンダーでは「Moderate」と評価
この脆弱性により、特権利用者が通常アクセスできない領域から情報を読み出せる可能性があります。直接的にリモート攻撃で悪用される可能性は低いものの、内部不正や侵害後の横展開に悪用される恐れがあります。
出典：NVD
【CVE‑2024‑28047】影響を受けるシステム／環境
対象となるのは以下のIntel製CPUファミリーです。
- Intel® Xeon® Processor D ファミリー
- 第3世代および第4世代 Xeon Scalable Processor
- その他、特定のIntelサーバー向けプラットフォーム
これらはデータセンターやエンタープライズ用途で広く利用されているため、影響範囲は大規模な環境に及ぶ可能性があります。
【CVE‑2024‑28047】技術的な詳細（脆弱性のメカニズム）
本脆弱性は、UEFIファームウェアにおける入力検証処理の不足が根本原因です。特権利用者が意図的に細工した入力を渡すことで、通常はアクセスできないUEFIレベルの情報やシステム構成データを取得できる可能性があります。
このため、ローカル攻撃者による情報収集や、権限昇格後の追加攻撃の足掛かりとして利用されるリスクがあります。
出典：NVD
【CVE‑2024‑28047】脆弱性がもたらすリスク
- ローカル環境における機密情報の漏洩
UEFIレベルの情報、システム設定や構成情報など - 内部侵害を受けた際のリスク拡大
特権利用者権限を持つ攻撃者が追加の情報を得ることで横展開を助長する可能性
直接的なリモート攻撃には不向きですが、内部不正やマルウェア侵入後の調査活動に悪用されることで、被害が深刻化する恐れがあります。
出典：NVD
【CVE‑2024‑28047】ベンダーおよびアドバイザリ情報
Intel
- 今後のマイクロコードアップデートやファームウェアパッチにより修正予定。
- 脆弱性の影響を受けるプロセッサーやプラットフォームの一覧を公開。
Dell PowerEdge
一部のサーバーモデルに影響あり。対象モデルに応じて、以下のように必要なBIOSバージョンが異なります。モデルによって 1.16.2、1.17.3、1.11.1 のバージョンもあります。
- 対象BIOSの修正版（例：2.5.4以降）を提供済み。
- 管理者は最新のBIOS/UEFIに更新することが推奨されます。
【CVE‑2024‑28047】対策・緩和策
推奨される対策
- UEFIファームウェアやBIOSのアップデートを適用することが最も有効な対応です。
- Intelおよび各ベンダーが提供する修正版パッチを速やかに導入してください。
一時的な緩和策
- アップデートがすぐに難しい場合は、特権利用者のアクセス制御を強化し、監査ログを有効化することが推奨されます。
- 内部からの不正利用を早期に検知するため、運用監視体制を見直すことも有効です。
もしすでに不審な挙動や情報漏洩の兆候が見られる場合は、フォレンジック調査を検討することをおすすめします。フォレンジック調査によって「被害がどの範囲に及んでいるか」「どのような攻撃経路が使われたのか」を特定でき、被害拡大の防止と再発防止につなげることが可能です。
編集部おすすめ調査会社：デジタルデータフォレンジック(おすすめ度)
情報漏洩やサイバー攻撃といった、幅広いインシデントに対してフォレンジック調査を行っている専門会社をご紹介します。
こちらの業者は、相談件数が39,000件を超え、民間の調査会社でありながら官公庁や大手企業との取引実績も多く信頼できるため、幅広い調査に対応していておすすめです。もちろん法人だけでなく、個人のハッキングやサポート詐欺調査などの相談も受け付けています。
まずは無料で相談・見積りまで行ってくれるようなので、不安な方は一度相談してみるとよいでしょう。
| 費用 | ★見積り無料 まずはご相談ください |
|---|---|
| 調査対象 | PC、スマートフォン、サーバ、外付けHDD、USBメモリ、SDカード、タブレット など |
| サービス | 情報漏洩調査、ハッキング・不正アクセス調査、マルウェア・ランサムウェア感染調査、サイバー攻撃被害調査、退職者調査、労働問題調査、社内不正調査、情報持出し調査、横領着服調査、パスワード解除、データ改ざん調査、データ復元、デジタル遺品、離婚問題・浮気調査 など |
| 特長 | ✓累積ご相談件数39,451件以上 ✓国際基準をクリアした厳重なセキュリティ体制（ISO認証、プライバシーマーク取得済） ✓警視庁からの捜査協力依頼・感謝状受領の実績多数 |
デジタルデータフォレンジックは、国内トップクラスの調査力を有しており、累計3万9千件以上の豊富な実績があります。
規模が大きな調査会社でありながら、個人端末のハッキング調査、不正アクセス調査などの実績もあるようですし、24時間365日の相談体制、ニーズに合わせたプランのカスタマイズなど、サービスの利用しやすさも嬉しいポイントです。
ハッキング調査以外にも幅広い調査に対応しているだけでなく、ケースごとに専門チームが調査対応を行っているとのことで、高品質な調査が期待できます。さらに、警察への捜査協力も行っているなど、信頼がおける専門業者です
相談・見積りを“無料“で行っているので、まずは電話かメールで問合せをしてみることをおすすめします。