【ITセキュリティ】Microsoftの月例更新プログラム公開、既に悪用の脆弱性も

あられお菓子 ★

ITmedia エンタープライズ　2018年05月09日 10時19分公開
http://www.itmedia.co.jp/enterprise/articles/1805/09/news059.html

　米Microsoftは5月8日（日本時間9日）、5月の月例セキュリティ更新プログラムを公開し、Windowsや
Internet Explorer（IE）などの脆弱性に対処した。一部の脆弱性は既に悪用が確認されていることから、
対応を急ぐ必要がある。

　Microsoftのセキュリティ情報によると、更新プログラムの対象となるのは、Internet Explorer（IE）、
Edge、Windows、Office／Office Services／Web Apps、ChakraCore、.NET Framework、Exchange Server、
Windows Host Compute Service Shim、及びAdobe Flash Playerの各製品。

　このうちWindowsやWindows Server、IE、Edge、.NET Framework、ChakraCoreなどに、深刻度がMicrosoftの
4段階評価で最も高い「緊急」の脆弱性が存在する。一方、Officeなどの脆弱性の深刻度は、上から2番目に高い
「重要」に分類されている。

　セキュリティ企業Trend Micro傘下のZero DayInitiative（ZDI）によれば、今回の更新プログラムで修正された
脆弱性は全部で68件あり、うち21件が緊急に分類されている。

　中でもWindows VBScriptエンジンに存在するリモートコード実行の脆弱性（深刻度：緊急）と、Win32kの
権限昇格の脆弱性（深刻度：重要）は、既に悪用が確認されている。VBScriptエンジンの脆弱性は、
ユーザーが不正なWebサイトを表示しただけで攻撃コードが実行される恐れがある。また、Win32kの脆弱性は、
マルウェアに利用されているという情報があるという。

　このほか、Windowsイメージの特権昇格の脆弱性と、Windowsカーネルの情報流出の脆弱性（いずれも深刻度は重要）は、
悪用は確認されていないものの、事前に情報が公開されていた。

　一方、米セキュリティ機関CERT/CCが同日公開したセキュリティ情報によれば、MicrosoftがWindows向けの
更新プログラムで修正した特権昇格の脆弱性（CVE-2018-8897）は、Intelアーキテクチャハードウェアデバッグの
例外処理に関連するもので、AppleやLinux、VMwareなどのOSやハイパーバイザーも影響を受ける。
Appleは4月24日に公開したmacOS High Sierra向けのセキュリティアップデートで、この問題に対処していた。