Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

MS、月例セキュリティ更新プログラム11件を公開 - ゼロデイ脆弱性4件を修正

日本マイクロソフトは、2013年最後となる月例セキュリティ更新プログラム11件を公開した。深刻度「緊急」のプログラム5件が含まれる。これらプログラムを通じてゼロデイ攻撃に悪用された脆弱性4件を含むあわせて24件の脆弱性を解消した。

4段階中もっとも深刻とされる「緊急」のプログラム5件のうち、さらに同社が適用優先度を高く設定したプログラムは「MS13-096」「MS13-097」「MS13-099」の3件。

「MS13-096」は、「Windowsグラフィックスコンポーネント」のTIFFファイル処理に存在する脆弱性「CVE-2013-3906」を改修するプログラム。同社では、ゼロデイ攻撃を確認しており、11月6日にセキュリティアドバイザリを公開するとともに緩和策「Fix it」を提供している。

今回公開された更新プログラムは、「Fix it」を有効にした状態で適用することが可能。ただし、適用後もも引き続き有効となるため、TIFFファイルを扱う場合は、手動で「Fix it」を無効化する必要がある。

「MS13-097」は、「Internet Explorer」に存在する7件の脆弱性を解消するプログラム。一方「MS13-099」は、「Microsoft Scripting Runtimeオブジェクトライブラリ」の脆弱性に関する脆弱性1件へ対応した。

これら2件のプログラムで修正された脆弱性は、細工されたウェブサイトを閲覧することにより、リモートでコードを実行されるおそれがある。いずれも非公開で報告を受けたもので悪用は確認されていない。

のこる2件の「緊急」のプログラムは、いずれも適用優先度が1段階低い「2」にレーティングされている。「MS13-105」は、「Exchange Server」に存在する4件の脆弱性に対応。3件はすでに公開済みの脆弱性で、そのうち2件では、Oracleが10月に修正した「Oracle Outside in」の脆弱性を解消している。

「MS13-098」は、「署名付きポータブル実行可能ファイル(PEファイル)」において署名の確認処理に脆弱性「CVE-2013-3900」が存在。悪用されると、署名を無効にせずにコードを追加することが可能となる。すでに脆弱性を悪用する標的型攻撃が確認されている。

(Security NEXT - 2013/12/11 ) このエントリーをはてなブックマークに追加

PR

関連記事

「VMware ESXi」に深刻な脆弱性 - ホスト上でコード実行のおそれ
スマートコントラクト向けの脆弱性モニタリングサービス - NRIセキュア
「WordPress」向けeラーニングシステム構築プラグインに複数脆弱性
「Adobe Acrobat/Reader」に悪用リスク高い脆弱性 - 早期適用推奨のアップデートが13日に公開予定
PowerDNSに複数脆弱性、アップデートで修正 - バグ判明で急遽再リリースも
Windows版「Evernote」にリモートよりコマンド実行が可能となる脆弱性
IoT向け組込OS「AWS FreeRTOS」に複数脆弱性 - コード実行のおそれ
同一コアのスレッド同時実行技術に脆弱性 - サイドチャネル攻撃「PORTSMASH」が明らかに
JPCERT/CCのログ可視化ツールにコードインジェクションなど複数脆弱性 - 修正版がリリース
複数の自己暗号化ドライブに脆弱性 - 復号化のおそれ