マイクロソフト、5月の月例パッチ公開--ゼロデイ脆弱性も修正

　Microsoftは米国時間5月11日、月例セキュリティパッチ「Patch Tuesday」をリリースした。今回のパッチでは、「Critical」（緊急）に分類された4件を含む55件の脆弱性が修正されている。ゼロデイ脆弱性も3件含まれているが、悪用された事例は報告されていない。

　影響のある製品は「Internet Explorer」や「.NET Core」「Visual Studio」「Windows 10」「Microsoft Office」などだ。5月のセキュリティアップデートについて、Microsoftのサイトで詳細を確認できる。

　今回修正されたゼロデイ脆弱性は以下の通りだ。

• CVE-2021-31204：「.NET」製品やVisual Studioに存在する、権限昇格の脆弱性
• CVE-2021-31207：「Microsoft Exchange Server 」に存在する、セキュリティ機能を回避する脆弱性
• CVE-2021-31200：共通ユーティリティーに存在する、リモートコード実行（RCE）の脆弱性

　Zero Day Initiative（ZDI）は「CVE-2021-31166」について、「最も興味深い脆弱性の1つ」だとして、以下のように説明している。

　CVE-2021-31166：HTTPプロトコルスタックに存在する、RCEの脆弱性

　今回のパッチにより、権限を持たない攻撃者が遠隔地からカーネルモードでコードを実行できるようになるという脆弱性が修正される。この脆弱性を利用する攻撃に必要なのは、脆弱性を保持しているサーバーに特殊な細工を施したパケットを送信することだけだ。そのため、この脆弱性はワームの侵入につながるものであり、Microsoftもその点について注意喚起している。Windows 10はウェブサーバーとして設定することも可能であるため、影響が及んでいる点を無視することはできない。検証と配備に向けた作業リストの最優先事項にしておくことを強く推奨する。

　またZDIは「Hyper-V」に存在するRCEの脆弱性について、共通脆弱性評価システム（CVSS）のセキュリティスコアが9.9だとして注意を喚起している。