MS、月例セキュリティ更新プログラム11件を公開 - ゼロデイ脆弱性4件を修正

「緊急」以外のプログラム6件は、いずれも深刻度が1段階低い「重要」に設定された。「MS13-100」は、「Microsoft SharePoint Server」の脆弱性に対応するプログラム。「MS13-101」では、カーネルモードドライバにおいて特権の昇格が生じる問題に対応。さらに「MS13-102」「MS13-103」で、それぞれ「LRPCクライアント」および「ASP.NET SignalR」に存在する特権の昇格が生じる問題を解決した。

「MS13-104」「MS13-105」はいずれもOfficeに関連する脆弱性。深刻度は「重要」とされているが、ともにゼロデイ攻撃が確認されている。

「MS13-104」では、悪意あるウェブサイトで公開されている「Officeファイル」を開くと情報漏洩が発生する脆弱性「CVE-2013-5054」を修正した。攻撃が成功すると、標的となるSharePointやOfficeサーバサイトにおいて、ユーザー認証に使用しているアクセストークンを取得されるおそれがある。

他方「MS13-106」は、Officeの共有コンポーネントの脆弱性「CVE-2013-5057」により、せセキュリティ機能である「HXDS ASLR」がバイパスされる可能性がある。

「CVE-2013-5057」が単独でコード実行に悪用される危険はないものの、リモートでコード実行が可能となる他脆弱性と組み合わせて利用されるおそれがあり、すでに標的型攻撃への利用が確認されている。

なお、同社が11月28日に公表した「Windows XP」および「Windows Server 2003」において特権が昇格する脆弱性「CVE-2013-5065」については、今回修正は見送られた。同社では対応に向けて調査を進めている。

（Security NEXT - 2013/12/11 ）ツイート

MS、月例セキュリティ更新プログラム11件を公開 - ゼロデイ脆弱性4件を修正

関連リンク

PR

関連記事