Microsoftの月例更新プログラム公開、既に悪用の脆弱性も

一部の脆弱性は既に悪用が確認されていることから、対応を急ぐ必要がある。

» 2018年05月09日 10時19分 公開
[鈴木聖子ITmedia]

 米Microsoftは5月8日(日本時間9日)、5月の月例セキュリティ更新プログラムを公開し、WindowsやInternet Explorer(IE)などの脆弱性に対処した。一部の脆弱性は既に悪用が確認されていることから、対応を急ぐ必要がある。

 Microsoftのセキュリティ情報によると、更新プログラムの対象となるのは、Internet Explorer(IE)、Edge、Windows、Office/Office Services/Web Apps、ChakraCore、.NET Framework、Exchange Server、Windows Host Compute Service Shim、及びAdobe Flash Playerの各製品。

 このうちWindowsやWindows Server、IE、Edge、.NET Framework、ChakraCoreなどに、深刻度がMicrosoftの4段階評価で最も高い「緊急」の脆弱性が存在する。一方、Officeなどの脆弱性の深刻度は、上から2番目に高い「重要」に分類されている。

 セキュリティ企業Trend Micro傘下のZero DayInitiative(ZDI)によれば、今回の更新プログラムで修正された脆弱性は全部で68件あり、うち21件が緊急に分類されている。

Photo 月例更新プログラムで修正された脆弱性の一部(出典:Zero Day Initiative)

 中でもWindows VBScriptエンジンに存在するリモートコード実行の脆弱性(深刻度:緊急)と、Win32kの権限昇格の脆弱性(深刻度:重要)は、既に悪用が確認されている。VBScriptエンジンの脆弱性は、ユーザーが不正なWebサイトを表示しただけで攻撃コードが実行される恐れがある。また、Win32kの脆弱性は、マルウェアに利用されているという情報があるという。

 このほか、Windowsイメージの特権昇格の脆弱性と、Windowsカーネルの情報流出の脆弱性(いずれも深刻度は重要)は、悪用は確認されていないものの、事前に情報が公開されていた。

 一方、米セキュリティ機関CERT/CCが同日公開したセキュリティ情報によれば、MicrosoftがWindows向けの更新プログラムで修正した特権昇格の脆弱性(CVE-2018-8897)は、Intelアーキテクチャハードウェアデバッグの例外処理に関連するもので、AppleやLinux、VMwareなどのOSやハイパーバイザーも影響を受ける。Appleは4月24日に公開したmacOS High Sierra向けのセキュリティアップデートで、この問題に対処していた。

Copyright © ITmedia, Inc. All Rights Reserved.

注目のテーマ