ITmedia NEWS > セキュリティ >
ニュース
» 2019年02月13日 09時45分 公開

Microsoftの月例更新プログラム公開 既に攻撃が発生しているIEの脆弱性も

IEの情報流出の脆弱性については、攻撃の発生が確認されているほか、Exchange Serverの特権昇格の脆弱性など4件については、事前に情報が公開されていた。

[鈴木聖子,ITmedia]

 米Microsoftは2月13日、月例セキュリティ更新プログラムを公開し、Internet Explorer(IE)やEdge、Windows、Officeなどに存在する70件以上の脆弱性に対処した。

 Microsoftによると、2月の更新プログラムの対象となるのは、IE、Edge、Windows、Office/Microsoft Office Services/Web Apps、ChakraCore、.NET Framework、Exchange Server、Visual Studio、Azure IoT SDK、Dynamics、Team Foundation Server、Visual Studio Codeの各製品。Adobe Systemsが同日公開したFlash Playerの更新版も併せて配信される。

photo 修正された脆弱性の一部。今回の修正プログラムでは70件以上の脆弱性に対処した(出典:Zero Day Initiative)

 今回修正された脆弱性のうち、IEの情報流出の脆弱性(CVE-2019-0676、最大深刻度「重要」)については攻撃の発生が確認されていた。この問題を悪用すれば、狙った相手に悪質なWebサイトを開かせる手口で、ディスク上のファイルの存在をチェックすることが可能とされ、標的型攻撃に利用される可能性が大きい。

 また、Exchange Serverの特権昇格の脆弱性(CVE-2019-0686、最大深刻度「重要」)など4件については事前に情報が公開されていた。この脆弱性は「PrivExchange」と命名され、Exchangeのデフォルトの設定と組み合わせて悪用されれば、リモートの攻撃者にサーバを乗っ取られる可能性が指摘されている。

 セキュリティ企業Trend Micro傘下のZero Day Initiative(ZDI)などの専門家は、Windows DHCP Serverのリモートコード実行の脆弱性(CVE-2019-0626、最大深刻度「緊急」)などについても、最優先で適用するよう勧告している。

関連キーワード

脆弱性 | Internet Explorer | Exchange | Microsoft | Windows


Copyright © ITmedia, Inc. All Rights Reserved.