logo

MSが2月の月例セキュリティパッチを公開--IEのゼロデイ脆弱性のパッチも

Catalin Cimpanu (ZDNet.com) 翻訳校正: 編集部2019年02月13日 11時40分
  • このエントリーをはてなブックマークに追加

 Microsoftは米国時間2月12日、2月の月例セキュリティパッチ(いわゆる「Patch Tuesday」)を公開した。今回の月例パッチでは、「Microsoft Edge」から「Azure IoT SDK」までを含むさまざまな製品の77件のセキュリティホールが修正されている。

 修正された中でもっとも重大な問題は「Internet Explorer」に存在するゼロデイ脆弱性だ。同社によれば、この脆弱性はすでに悪用されているという。

 同社は、このIEのゼロデイ脆弱性(CVE-2019-0676)について、「攻撃者がこの脆弱性の悪用に成功した場合、ディスク上のファイルの有無をテストできる可能性があります」と説明している。

 今回は、ほかにも多くの重大な脆弱性が修正されている。

 まず、リモートから任意のコードを実行される可能性がある、Server Message Block(SMB)の脆弱性が2件修正されている。SMBは、2017年に世界中に爆発的に広がったランサムウェアである「WannaCry」や「NotPetya」でも悪用されたサービスだ。

 これらのバグ(CVE-2019-0630およびCVE-2019-0633)ではSMBの認証はバイパスされないため、前述のランサムウェアで使用された攻撃コード「EternalBlue」ほど深刻ではないが、SMBのクライアントサーバ通信の保護に簡単なパスワードしか使用していない企業では危険だ。

 また、各バージョンの「Windows Server」に組み込まれているDHCPサーバコンポーネントにも、リモートからコードを実行される可能性がある脆弱性(CVE-2019-0626)が存在する。

 Microsoftによれば、脆弱性を持つDHCPサーバに特別に細工されたDHCPパケットを送信することによって、Windows Serverがハイジャックされる可能性がある。Windows Serverは企業ネットワークの重要なITインフラを構成していることが多いため、この脆弱性が悪用されると、甚大な被害が発生しかねない。

 さらに同社は、「PrivExchange」として知られている脆弱性(CVE-2019-0686)も修正した。

 1月末には、すでにPrivExchangeの概念実証コードが公開されている。このコードを利用すれば、「Microsoft Exchange 2013」以降に存在するバグを利用して、ハッキングされた電子メールアドレス1つから、社内のドメインコントローラーの管理者まで特権を昇格させることができる。

 Microsoftは今回のパッチ公開以前にも、2月5日にこの脆弱性に関するセキュリティアドバイザリ(ADV190007)を公開し、システム管理者がサーバを攻撃から守るための緩和策を提供している。

 このほかに同社は、2月12日に2つ目のセキュリティアドバイザリ(ADV190006)を公開している。このアドバイザリは、Active Directoryサーバのフォレストの信頼を悪用する新たな種類の攻撃を緩和する方法を説明するものだ。

この記事は海外CBS Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。

CNET Japanの記事を毎朝メールでまとめ読み(無料)

-PR-企画特集

このサイトでは、利用状況の把握や広告配信などのために、Cookieなどを使用してアクセスデータを取得・利用しています。 これ以降ページを遷移した場合、Cookieなどの設定や使用に同意したことになります。
Cookieなどの設定や使用の詳細、オプトアウトについては詳細をご覧ください。
[ 閉じる ]