Clash Verge RevのWindowsサービス権限昇格にどう対処する？

Clash Verge RevのGHSA-99qg-xv7m-jf4vが説明するのは、Windowsシステムサービスにおけるローカル権限昇格です。権限の低いローカルユーザーまたはプロセスがサービスのアクセス制限を回避し、LocalSystem権限で動くサービスにコードを実行させる可能性があります。アドバイザリはローカルのリスクであり、ネットワーク越しに直接悪用できるものではないと明記しています。

アドバイザリの影響対象は<= 2.5.4、明示された修正済みビルドはv2.5.4+autobuild.0908.bbab52dです。ここでは+autobuildの接尾辞を省けません。通常のv2.5.4と修正済みビルドを、先頭のバージョン番号だけで同じ安全状態とみなさないでください。

対象はClash Verge RevがWindowsにインストールするシステムサービスです。Mihomoのルール、サブスクリプション、プロキシノードの問題ではなく、macOS、Linux、ほかのClashクライアントにそのまま当てはめるものでもありません。システムサービスはGUIとは別に動作し、Clash Verge Revを終了してもバックグラウンドに残る場合があります。ウィンドウやTUNを閉じただけでは停止したと確認できません。

警告表示がない、プロキシが使える、不審なプロセスが見つからない場合でも、旧サービスが動いていないとは限りません。一方、影響対象のバージョンをインストールしただけで悪用されたとも断定できません。まずサービスの有無と稼働状態を確認し、停止、更新、インシデント対応のどれが必要か判断してください。

このWindows PCにClash Verge Revのサービスをインストールしたことがあり、稼働中のものがアドバイザリに記載された修正済みビルドと確認できない場合は、先にTUNをオフにし、システムサービスを停止またはアンインストールしてください。

プロジェクトの設定画面には「サービスをアンインストール」に相当する操作があります。公式ドキュメントでも、Windowsでは設定メニューの仮想ネットワークアダプターの横にある削除アイコンを使用できると説明しています。場所はバージョンにより変わる可能性があるため、現在の画面表示に従ってください。

アンインストール前に、アプリのバージョン、使用中のモード、TUNとシステムプロキシの状態を記録してください。サービスの操作には通常、管理者権限が必要です。職場や学校の端末では権限のある管理者に依頼し、システムディレクトリの権限変更で承認を回避しないでください。

プロジェクトのドキュメントには、GUIを閉じてもサービスプロセスは自動終了しないと明記されています。アンインストール後にPCを再起動し、Windowsの「サービス」管理ツールで該当するClash Verge Revのサービスが再び動いていないことを確認してください。似た名前の別のネットワークサービスを誤って止めないでください。サービスの識別ができない、またはアンインストールに失敗する場合は、その端末で機密情報を扱うのを一旦やめ、管理者にインストールパスを調べてもらってください。

Clash Verge Revの「このアプリについて」またはバージョン情報で完全な文字列を記録し、先頭の2.5.4だけを書き写さないでください。GHSAの修正済みビルドと照合するときは、主バージョン、+autobuild接尾辞、末尾の識別子まで一致している必要があります。短いバージョンしか表示されないなら、情報が足りないためサービスを停止したままにします。

続いてWindowsの「サービス」管理ツールで該当サービスの有無と稼働状態を調べ、実行ファイルのパスが現在のClash Verge Revのインストール先を指すことを確かめます。プロジェクトのドキュメントではサービスを独立プロセスと説明しているため、GUIを更新または終了しただけでは、旧コンポーネントがバックグラウンドに残っていない証明になりません。バージョン確認のためにサービスのローカル通信インターフェースへ接続したり、テストリクエストを送信したりしないでください。

Clash Verge Rev v2.5.5の公式Releaseには、サービスのインストール、動作、互換性に関する複数の修正が記載されています。しかし、そのページにはGHSA-99qg-xv7m-jf4vの修正と明記されていません。「v2.5.5はより新しい安定版」という理由だけで、アドバイザリが示す正確な修正の根拠に代えることはできません。メンテナーが後で新しい修正済みバージョン範囲を公開した場合は、その公式情報で判断を更新してください。

現時点でGHSAに記載されているv2.5.4+autobuild.0908.bbab52dを、明確に照合できる修正済みビルドとして扱います。インストーラーはclash-verge-rev/clash-verge-revプロジェクトの公式配布経路からのみ入手し、完全なファイル名、システムアーキテクチャ、配布ページに記載された照合情報を確認してください。

そのビルドについて検証可能な公式アセットが見つからない場合は、旧サービスをアンインストールした状態を保ち、プロジェクトのメンテナーが独立に照合できる更新を示すのを待ってください。検索広告、ファイル共有、第三者が再パッケージしたファイルは使わないでください。

公式のv2.5.5 Releaseは新しいインストーラーを探す入口になりますが、そのリリースノートには、このGHSAの修正が直接明記されていません。v2.5.5以降の安定版を選ぶ場合は、メンテナーの告知、対応するサービスコンポーネント、修正コミットが含まれるかを別途確かめてください。根拠が不十分な間は、高権限のサービスを再び有効にしないでください。

インストール前に信頼できるProfileとアプリ設定をバックアップし、元のインストーラーの入手元とバージョン記録を保存してください。アプリ更新後は、プロジェクトの公式手順で旧サービスを処理して新サービスをインストールし、実際に稼働するサービスコンポーネントを再確認します。更新プログラムの「完了」表示だけで確認を終えないでください。旧バックアップからサービスの実行ファイルだけをシステムディレクトリにコピーし直してはいけません。

当面サービスを使わない場合は、再起動後にサービスが稼働しておらず、TUNもオフのままであることを確認します。そのうえで、サービスに依存しない方法で実際のHTTPSサイトへアクセスしてください。プロキシが使えることは通信の復旧を示すだけで、サービス状態の確認には代わりません。

アドバイザリで明示された修正済みビルドをインストールした場合は、完全なビルド番号、現在のサービスファイルのパス、サービスモードの稼働状態、実際の接続を合わせて確認します。TUNが必要なら、TUNの通信も別に確認してください。TUNが不要なら、テストのためだけにサービスを再インストールする必要はありません。

脆弱性の再現スクリプトを実行したり、低権限アカウントを模擬作成したり、出所不明のWebページからローカルのインターフェースにアクセスさせたりしないでください。ユーザー側の安全な更新確認には、バージョン、入手元、サービス状態、通常の通信リクエストで足ります。侵入の有無は別途、システム上の証拠で判断する必要があります。

影響対象のバージョンと稼働中のサービスは、悪用可能な条件があることを示すだけで、誰かがSYSTEM権限を取得した証明ではありません。未知の高権限プロセス、セキュリティソフトの警告、不審なスケジュールタスク、資格情報の改変など、時系列で裏付けられる異常もある場合は、端末への侵入の可能性として対応してください。

まず端末をネットワークから切り離し、旧サービスの使用をやめます。完全なバージョン、サービスのパス、異常の開始時刻、警告、不審なプロセスを記録してください。元のログと設定は保全し、共有用には機密情報を伏せたコピーを作ります。「クリーンアップ」のために見覚えのないファイルをすぐ削除しないでください。影響範囲を調べる証拠かもしれません。

Windowsまたは組織が認めるセキュリティツールでスキャンし、管理者に永続化の仕組みや高権限の活動を調べてもらいます。サブスクリプションtoken、ノードのパスワード、ブラウザーセッション、クラウドの資格情報が漏れた可能性がある場合は、別の信頼できる端末から旧資格情報を無効化して再発行してください。端末の完全性を確認できなければ、信頼できるインストールメディアからシステムを再構築し、安全と確認した設定だけを復元します。

修正済みビルドを端末にインストールできない、サービスが起動しない、またはTUNが動かない場合は、旧サービスを停止したままにします。Clash Verge Revのサービスを使わない方法とシステムプロキシ、または入手元を確認した別のクライアントで必要な通信を復旧してください。システムプロキシはすべてのアプリを対象にするわけではないため、復旧後は実際の用途で確かめます。

通信がまだできない場合は、システムプロキシが稼働中のローカルポートを指しているか確認し、次に現在のProfileとノードを調べます。TUNを戻すために旧バックアップからサービスファイルをコピーしたり、アドバイザリの影響対象ビルドへ戻したり、サービスディレクトリのアクセス権限を緩めたりしないでください。

更新時の不具合をプロジェクトに報告するときは、OSバージョン、CPUアーキテクチャ、アプリの完全なビルド番号、サービス状態、最初のエラー、機密情報を伏せたログを添えてください。GHSAの修正を明確に裏付けられない新しいインストーラーしか入手できないなら、その高権限サービスを当面インストールせず、メンテナーの説明を待ってください。

Clash Verge Revのプロジェクト文書では、高権限サービスはGUIとは独立したバックグラウンドプロセスとされています。今後の更新ごとに、アプリの完全なビルド番号、サービスのインストール有無、サービスファイルの実際のパス、TUNの有効状態、対応する公式Releaseまたはセキュリティアドバイザリを記録してください。主バージョン番号だけでは通常のv2.5.4とアドバイザリで指定された修正済みビルドを区別できません。

GHSAにはWindowsでのローカル権限昇格の影響範囲と明確な修正済みビルドが示されています。一方、v2.5.5 Releaseには新しいバージョンとサービス関連の変更が記載されているものの、そのGHSAへの直接の言及はありません。両者が示す内容を混同せず、「新しいバージョンをインストールした」ことをそのまま「アドバイザリの修正を確認済み」と書かないでください。

今後、上流がGHSAの修正済みバージョン範囲を更新したり、サービス専用のセキュリティ説明を公開したりした場合は、新しいプロジェクトの一次資料で再確認してください。管理対象PCではサービス更新を管理者承認のソフトウェア更新手順に組み込み、アンインストール済みの旧サービスが自動で再導入されていないか定期的に確認するとよいでしょう。