Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

MS、月例セキュリティ更新プログラム11件を公開 - ゼロデイ脆弱性4件を修正

日本マイクロソフトは、2013年最後となる月例セキュリティ更新プログラム11件を公開した。深刻度「緊急」のプログラム5件が含まれる。これらプログラムを通じてゼロデイ攻撃に悪用された脆弱性4件を含むあわせて24件の脆弱性を解消した。

4段階中もっとも深刻とされる「緊急」のプログラム5件のうち、さらに同社が適用優先度を高く設定したプログラムは「MS13-096」「MS13-097」「MS13-099」の3件。

「MS13-096」は、「Windowsグラフィックスコンポーネント」のTIFFファイル処理に存在する脆弱性「CVE-2013-3906」を改修するプログラム。同社では、ゼロデイ攻撃を確認しており、11月6日にセキュリティアドバイザリを公開するとともに緩和策「Fix it」を提供している。

今回公開された更新プログラムは、「Fix it」を有効にした状態で適用することが可能。ただし、適用後もも引き続き有効となるため、TIFFファイルを扱う場合は、手動で「Fix it」を無効化する必要がある。

「MS13-097」は、「Internet Explorer」に存在する7件の脆弱性を解消するプログラム。一方「MS13-099」は、「Microsoft Scripting Runtimeオブジェクトライブラリ」の脆弱性に関する脆弱性1件へ対応した。

これら2件のプログラムで修正された脆弱性は、細工されたウェブサイトを閲覧することにより、リモートでコードを実行されるおそれがある。いずれも非公開で報告を受けたもので悪用は確認されていない。

のこる2件の「緊急」のプログラムは、いずれも適用優先度が1段階低い「2」にレーティングされている。「MS13-105」は、「Exchange Server」に存在する4件の脆弱性に対応。3件はすでに公開済みの脆弱性で、そのうち2件では、Oracleが10月に修正した「Oracle Outside in」の脆弱性を解消している。

「MS13-098」は、「署名付きポータブル実行可能ファイル(PEファイル)」において署名の確認処理に脆弱性「CVE-2013-3900」が存在。悪用されると、署名を無効にせずにコードを追加することが可能となる。すでに脆弱性を悪用する標的型攻撃が確認されている。

(Security NEXT - 2013/12/11 ) このエントリーをはてなブックマークに追加

PR

関連記事

Citrix製品にあわせて11件の脆弱性 - アップデートが公開
「SD-WAN by VeloCloud」に脆弱性 - アップデートがリリース
F5「BIG-IP」の脆弱性狙う攻撃を国内で観測
F5の「BIG-IP」シリーズに深刻な脆弱性 - リモートよりコード実行のおそれ
「PowerDNS Recursor」に脆弱性 - アップデートがリリース
「Samba」に4件の脆弱性 - アップデートがリリース
「Firefox 78」がリリース - 脆弱性13件を修正 - 保護ダッシュボードの機能強化も
「Microsoft Windows Codecs Library」に複数脆弱性 - 定例外で更新
NETGEAR製品に10件のゼロデイ脆弱性 - 多数製品に影響
Palo Alto Networksの「PAN-OS」に認証回避の脆弱性 - VPNなども影響