MS、深刻度「緊急」4件含む月例パッチ7件を公開 - ゼロデイ脆弱性2件を修正
日本マイクロソフトは、2014年2月の月例セキュリティ更新プログラム7件を公開し、あわせて31件の脆弱性を修正した。標的型攻撃で悪用が確認されているゼロデイ脆弱性2件が含まれる。

2014年2月の月例セキュリティ更新プログラム一覧
今回の月例更新は、予告当初深刻度「緊急」2件と「重要」3件のあわせて5件となる見込みだったが、急遽「緊急」のプログラム2件を追加し、合計7件の公開となった。
4段階中もっとも深刻とされる「緊急」のプログラムは4件。そのうち同社が適用優先度をもっとも高い「1」に設定しているプログラムは、「MS14-007」「MS14-010」「MS14-011」の3件。
「MS14-007」は、「Windows」の「Direct2D」における脆弱性1件を修正するプログラム。悪意あるウェブページを閲覧し、脆弱性が攻撃を受けると不正なコードを実行されるおそれがある。
一方「MS14-010」では、「Internet Explorer」に存在する24件の脆弱性へ対処。サポート中であるすべてのIEが影響を受ける。そのうち「CVE-2014-0267」に関しては悪用は確認されていないものの、すでに公開されている。同脆弱性を含め、22件がメモリ破壊に関する脆弱性。
また「VBScriptエンジン」の脆弱性「CVE-2014-0271」を含むが、「IE 9」に関しては別途「MS14-011」を別途公開することで同脆弱性に対処した。
のこる1件の「緊急」とされるプログラムは、「MS14-008」で、「Microsoft Forefront Protection for Exchange」の問題を解決する。更新プログラムは、ダウンロードセンターからダウンロードして入手する必要がある。
「緊急」以外のプログラムは、いずれも深刻度が1段階低い「重要」3件。いずれも公開済みの脆弱性を含んでおり、そのうち2件については悪用が確認されているので注意が必要。
「MS14-005」は、「Microsoft XMLコアサービス」に含まれる脆弱性「CVE-2014-0266」に対処したもの。悪意あるウェブページなどへアクセスすると不正なコードを実行されるおそれがある。
2011月に修正プログラム「MS13-090」で「Kill Bit」の設定により修正された「InformationCardSigninHelper」の脆弱性「CVE-2013-3918」と組み合わせた標的型攻撃で悪用が確認されている。「MS13-090」を適用していれば、攻撃が成功することはなく、緊急性は低いとしている。
(Security NEXT - 2014/02/12 )
ツイート
PR
関連記事
「iOS」「iPadOS」にアップデート - ゼロデイ脆弱性を解消
「Zimbra」に複数の深刻な脆弱性 - 最新版へアップデートを
行政機関向け資産管理システム「Cityworks」に脆弱性 - すでに悪用も
特権アクセス管理製品「Symantec PAM」に深刻な脆弱性
「MS Edge」がリリース - 独自含む脆弱性10件を解消
「Defense Platform HE」に複数脆弱性 - 最新版へ更新を
Cisco、セキュリティアドバイザリ8件を公表 - 脆弱性18件に対応
「IBM Security Verify Directory Server Container」に複数の脆弱性
米当局、「7-Zip」などの脆弱性に注意喚起 - 悪用カタログに5件追加
JetBrains、1月のアップデートで脆弱性10件を解消