Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

MS、月例セキュリティ更新プログラム11件を公開 - ゼロデイ脆弱性4件を修正

日本マイクロソフトは、2013年最後となる月例セキュリティ更新プログラム11件を公開した。深刻度「緊急」のプログラム5件が含まれる。これらプログラムを通じてゼロデイ攻撃に悪用された脆弱性4件を含むあわせて24件の脆弱性を解消した。

4段階中もっとも深刻とされる「緊急」のプログラム5件のうち、さらに同社が適用優先度を高く設定したプログラムは「MS13-096」「MS13-097」「MS13-099」の3件。

「MS13-096」は、「Windowsグラフィックスコンポーネント」のTIFFファイル処理に存在する脆弱性「CVE-2013-3906」を改修するプログラム。同社では、ゼロデイ攻撃を確認しており、11月6日にセキュリティアドバイザリを公開するとともに緩和策「Fix it」を提供している。

今回公開された更新プログラムは、「Fix it」を有効にした状態で適用することが可能。ただし、適用後もも引き続き有効となるため、TIFFファイルを扱う場合は、手動で「Fix it」を無効化する必要がある。

「MS13-097」は、「Internet Explorer」に存在する7件の脆弱性を解消するプログラム。一方「MS13-099」は、「Microsoft Scripting Runtimeオブジェクトライブラリ」の脆弱性に関する脆弱性1件へ対応した。

これら2件のプログラムで修正された脆弱性は、細工されたウェブサイトを閲覧することにより、リモートでコードを実行されるおそれがある。いずれも非公開で報告を受けたもので悪用は確認されていない。

のこる2件の「緊急」のプログラムは、いずれも適用優先度が1段階低い「2」にレーティングされている。「MS13-105」は、「Exchange Server」に存在する4件の脆弱性に対応。3件はすでに公開済みの脆弱性で、そのうち2件では、Oracleが10月に修正した「Oracle Outside in」の脆弱性を解消している。

「MS13-098」は、「署名付きポータブル実行可能ファイル(PEファイル)」において署名の確認処理に脆弱性「CVE-2013-3900」が存在。悪用されると、署名を無効にせずにコードを追加することが可能となる。すでに脆弱性を悪用する標的型攻撃が確認されている。

(Security NEXT - 2013/12/11 ) このエントリーをはてなブックマークに追加

PR

関連記事

バッファロー製のネットワークカメラに6件の脆弱性 - アップデートがリリース
攻撃者視点で自動車の脆弱性を検査 - ネットエージェント
ベリサーブ、「IoTセキュリティリスク分析支援ソリューション」を提供
ウェブレッジ、IoTシステムに特化した脆弱性診断サービス
アズジェント、イスラエル製のIoT機器向け組込セキュリティソフトを取扱開始
日本年金機構が提供する複数プログラムのインストーラに脆弱性
アイ・オー製ネットワークカメラ2機種に複数の脆弱性
ソニーの業務用ネットワークカメラに脆弱性 - システム権限奪取されるおそれ
「kintone mobile for Android」に脆弱性 - 中間者攻撃受けるおそれ
「シンプル携帯チャット」にXSSの脆弱性 - 開発中止のため利用停止を