Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

MS、月例セキュリティ更新プログラム11件を公開 - ゼロデイ脆弱性4件を修正

日本マイクロソフトは、2013年最後となる月例セキュリティ更新プログラム11件を公開した。深刻度「緊急」のプログラム5件が含まれる。これらプログラムを通じてゼロデイ攻撃に悪用された脆弱性4件を含むあわせて24件の脆弱性を解消した。

4段階中もっとも深刻とされる「緊急」のプログラム5件のうち、さらに同社が適用優先度を高く設定したプログラムは「MS13-096」「MS13-097」「MS13-099」の3件。

「MS13-096」は、「Windowsグラフィックスコンポーネント」のTIFFファイル処理に存在する脆弱性「CVE-2013-3906」を改修するプログラム。同社では、ゼロデイ攻撃を確認しており、11月6日にセキュリティアドバイザリを公開するとともに緩和策「Fix it」を提供している。

今回公開された更新プログラムは、「Fix it」を有効にした状態で適用することが可能。ただし、適用後もも引き続き有効となるため、TIFFファイルを扱う場合は、手動で「Fix it」を無効化する必要がある。

「MS13-097」は、「Internet Explorer」に存在する7件の脆弱性を解消するプログラム。一方「MS13-099」は、「Microsoft Scripting Runtimeオブジェクトライブラリ」の脆弱性に関する脆弱性1件へ対応した。

これら2件のプログラムで修正された脆弱性は、細工されたウェブサイトを閲覧することにより、リモートでコードを実行されるおそれがある。いずれも非公開で報告を受けたもので悪用は確認されていない。

のこる2件の「緊急」のプログラムは、いずれも適用優先度が1段階低い「2」にレーティングされている。「MS13-105」は、「Exchange Server」に存在する4件の脆弱性に対応。3件はすでに公開済みの脆弱性で、そのうち2件では、Oracleが10月に修正した「Oracle Outside in」の脆弱性を解消している。

「MS13-098」は、「署名付きポータブル実行可能ファイル(PEファイル)」において署名の確認処理に脆弱性「CVE-2013-3900」が存在。悪用されると、署名を無効にせずにコードを追加することが可能となる。すでに脆弱性を悪用する標的型攻撃が確認されている。

(Security NEXT - 2013/12/11 ) このエントリーをはてなブックマークに追加

PR

関連記事

全日空のiOSアプリに脆弱性 - 中間者攻撃受けるおそれ
「Flash Player」狙いのゼロデイ攻撃、3カ月前から準備か - 給与関連書類を偽装、C&Cは偽求人サイト
CMSの「Zenphoto」にコード実行の脆弱性 - 最新版で修正
「BIND 9」が意図せずオープンリゾルバとなるおそれ - 設定の確認を
MS、AMDプロセッサ向けに「Spectre」緩和策を追加
「Chrome」に重要度「高」の脆弱性 - アップデートがリリース
「OpenSSL」にDoS攻撃受ける脆弱性 - 修正は次期アップデートで
MS、6月の月例パッチをリリース - 脆弱性1件が公開済み、悪用は未確認
Windows版LINEにリンクでDLL読込パスを指定できる脆弱性 - すでに修正済み
スマートデバイス向け「VMware AirWatch Agent」に深刻な脆弱性