Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

MS、月例セキュリティ更新プログラム11件を公開 - ゼロデイ脆弱性4件を修正

日本マイクロソフトは、2013年最後となる月例セキュリティ更新プログラム11件を公開した。深刻度「緊急」のプログラム5件が含まれる。これらプログラムを通じてゼロデイ攻撃に悪用された脆弱性4件を含むあわせて24件の脆弱性を解消した。

4段階中もっとも深刻とされる「緊急」のプログラム5件のうち、さらに同社が適用優先度を高く設定したプログラムは「MS13-096」「MS13-097」「MS13-099」の3件。

「MS13-096」は、「Windowsグラフィックスコンポーネント」のTIFFファイル処理に存在する脆弱性「CVE-2013-3906」を改修するプログラム。同社では、ゼロデイ攻撃を確認しており、11月6日にセキュリティアドバイザリを公開するとともに緩和策「Fix it」を提供している。

今回公開された更新プログラムは、「Fix it」を有効にした状態で適用することが可能。ただし、適用後もも引き続き有効となるため、TIFFファイルを扱う場合は、手動で「Fix it」を無効化する必要がある。

「MS13-097」は、「Internet Explorer」に存在する7件の脆弱性を解消するプログラム。一方「MS13-099」は、「Microsoft Scripting Runtimeオブジェクトライブラリ」の脆弱性に関する脆弱性1件へ対応した。

これら2件のプログラムで修正された脆弱性は、細工されたウェブサイトを閲覧することにより、リモートでコードを実行されるおそれがある。いずれも非公開で報告を受けたもので悪用は確認されていない。

のこる2件の「緊急」のプログラムは、いずれも適用優先度が1段階低い「2」にレーティングされている。「MS13-105」は、「Exchange Server」に存在する4件の脆弱性に対応。3件はすでに公開済みの脆弱性で、そのうち2件では、Oracleが10月に修正した「Oracle Outside in」の脆弱性を解消している。

「MS13-098」は、「署名付きポータブル実行可能ファイル(PEファイル)」において署名の確認処理に脆弱性「CVE-2013-3900」が存在。悪用されると、署名を無効にせずにコードを追加することが可能となる。すでに脆弱性を悪用する標的型攻撃が確認されている。

(Security NEXT - 2013/12/11 ) このエントリーをはてなブックマークに追加

PR

関連記事

「Drupal」に複数の脆弱性 - リモートよりコード実行のおそれ
Linuxにroot権限を取得される脆弱性「Stack Clash」
HPEのサーバ監視ソフト「HPE SiteScope」に脆弱性
「WordPress」用ジョブボード追加プラグインに脆弱性 - リモートから画像ファイルがアップロード可能に
バックアップソフト「Acronis True Image」の更新機能に脆弱性
WordPress向けカレンダープラグインにXSSの脆弱性
「Apache HTTP Web Server」に複数の脆弱性 - 最新版で修正
MS、国家関与などで脅威高まる脆弱性を公表 - 旧OSにパッチ供給、ゼロデイ脆弱性にも対応
BINDに脆弱性や不具合が判明 - Windows版のインストーラにも
「BIND 9」に複数の深刻な「脆弱性」 - 異常終了するおそれ