Microsoft、9月の月例セキュリティ更新プログラム公開 計61件の脆弱性を修正:未解決の脆弱性に関する情報も公開
深刻度が「緊急」の脆弱性は18件。悪用される危険性が大きく、事前に情報が公開されていた脆弱性も複数ある。
米Microsoftは9月12日(日本時間13日)、9月の月例セキュリティ更新プログラムを公開し、Internet Explorer(IE)やEdge、Windowsなどの深刻な脆弱性に対処した。8月下旬に発覚したWindowsタスクスケジューラの脆弱性も修正されている。
Microsoftによると、9月の月例セキュリティ更新プログラムの対象となるのは、IEとEdge、Windows、Office/Office Services/Web Apps、ChakraCore、.NET Framework、Microsoft.Data.OData、ASP.NETの各製品。
このうちWindowsタスクスケジューラ「Advanced Local Procedure Call(ALPC)」に存在する権限昇格の脆弱性(最大深刻度:重要)については、8月下旬に悪用コードが公開され、この問題を突くマルウェアの出現も報告されていた。
米セキュリティ機関SANS Internet Storm Centerによると、今回の月例セキュリティ更新プログラムでは、計61件の脆弱性が修正されている。このうち深刻度が4段階で最も高い「緊急」に指定されているのは18件。中でもIEにおけるメモリ破損の脆弱性などは、悪用される危険性が大きいとされる。
特に、Windowsのリモートコード実行の脆弱性(CVE-2018-8475)や、スクリプティングエンジンのメモリ破損の脆弱性(CVE-2018-8457)については、事前に情報が出回っていたという。
月例セキュリティ更新プログラムには、Microsoft製品のほか、Adobeが同日公開したFlash Playerのセキュリティアップデートも含まれる。
これとは別に、「FragmentSmack」と呼ばれる未解決の脆弱性(CVE-2018-5391)に関するアドバイザリーも公開された。Windowsでこの問題を悪用された場合、サービス妨害(DoS)攻撃を仕掛けられ、CPUが100%消費されてシステムが反応しなくなる恐れがある。
Microsoftは現在、この脆弱性を解決する更新プログラムの開発を進めているという。アドバイザリーでは当面の対策も紹介している。
関連記事
- Windowsタスクスケジューラに発覚した脆弱性、たった2日で悪用マルウェアが出回る
この脆弱性を突くコンセプト実証コードのソースコードも公開されていて、誰でもこれに手を加え、自分のコードに取り込むことができてしまう状態にあるという。 - Windowsタスクスケジューラに未解決の脆弱性、悪用コードも公開
ローカルユーザーに悪用された場合、権限を昇格されてシステム特権を獲得される恐れがある。 - Microsoft、マルウェア対策エンジンの脆弱性情報を連日公開
Microsoftは12月6日から7日にかけて、マルウェア対策エンジンの脆弱性に関する情報を相次いで公開した。月例セキュリティ情報は予定通り12日(日本時間13日)に公開予定。 - 第24回 マルウェアの96%は「使い捨て」――マイクロソフトが3カ月分析して分かったこと
マイクロソフトが3カ月の間マルウェアを分析したところ、マルウェアのうち、実に96%が“使い捨て”であるという事実が分かりました。今回は、アンチウイルスソフトだけではマルウェアを防げない実態を紹介します。
関連リンク
Copyright © ITmedia, Inc. All Rights Reserved.