Microsoft、月例セキュリティ情報を公開 攻撃発生の脆弱性あり

12件が公開され、内訳は最大深刻度「緊急」が5件、「重要」が7件。一部の脆弱性については攻撃の発生が確認されている。

» 2015年09月09日 07時38分 公開
[鈴木聖子ITmedia]

 米Microsoftは9月8日、12件の月例セキュリティ情報を公開してWindowsやInternet Explorer(IE)、Edgeなどに存在する深刻な脆弱性に対処した。WindowsやOfficeには既に攻撃が発生している脆弱性もあり、早急な対応が必要だ。

 12件中5件のセキュリティ情報は、最大深刻度が4段階で最高の「緊急」に指定されている。このうち攻撃の発生が確認されているのは、Graphicsコンポーネントの脆弱性に関するセキュリティ更新プログラム(MS15-097)で修正された権限昇格の脆弱性と、Officeの脆弱性に関する更新プログラム(MS15-099)で修正されたEPSファイル処理に関するリモートコード実行の脆弱性。Microsoftによると、限定的な標的型攻撃の発生などが報告されているという。

脆弱性悪用攻撃が発生している2件の情報(Microsoftより)

 MS15-097は、Windows 10までのWindowsやOffice、Lyncが対象となり、特にWindows VistaとWindows Server 2008、Lync 2013/2010、Live Meeting 2007、Office 2007/2010は深刻な影響を受ける。MS15-099はOffice 2007/2010/2013/2013 RTが緊急に指定されているほか、Excel for Mac 2011/2016とSharePoint Foundation 2013、SharePoint Server 2013も影響を受ける。

 IEの累積的なセキュリティ更新プログラム(MS15-094)では、IE 7〜11に確認された多数のメモリ破損の脆弱性など深刻な問題を修正した。うち1件は事前に情報が公開されていたが、悪用は確認されていないとしている。

 新ブラウザのEdgeの累積的なセキュリティ更新プログラム(MS15-095)ではWindows 10に搭載されたEdgeについて、メモリ破損の脆弱性4件を修正した。悪用された場合、細工を施したWebページをEdgeで閲覧すると、リモートの攻撃者に任意のコードを実行される恐れがある。こちらも4件のうち1件の脆弱性は事前に情報が公開されていたが、悪用は確認されていないという。

 Windows Journalの脆弱性に対処するセキュリティ更新プログラム(MS15-098)は、サポート対象の全Windowsで緊急に指定されている。

 残る7件のセキュリティ情報の深刻度は、いずれも上から2番目に高い「重要」レベル。Active Directory Service、Windows Media Center、.NET Framework、Windowsタスク管理、Exchange Server、Skype for Business ServerおよびLync Server、Windows Hyper-Vの脆弱性にそれぞれ対処した。悪用された場合、サービス妨害(DoS)、リモートコード実行、権限昇格、情報流出などの攻撃を招く恐れがある。

セキュリティ更新プログラム全体の概要(同)

Copyright © ITmedia, Inc. All Rights Reserved.