Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

MS、深刻度「緊急」4件含む月例パッチ7件を公開 - ゼロデイ脆弱性2件を修正

日本マイクロソフトは、2014年2月の月例セキュリティ更新プログラム7件を公開し、あわせて31件の脆弱性を修正した。標的型攻撃で悪用が確認されているゼロデイ脆弱性2件が含まれる。

20140212ms_001.jpg
2014年2月の月例セキュリティ更新プログラム一覧

今回の月例更新は、予告当初深刻度「緊急」2件と「重要」3件のあわせて5件となる見込みだったが、急遽「緊急」のプログラム2件を追加し、合計7件の公開となった。

4段階中もっとも深刻とされる「緊急」のプログラムは4件。そのうち同社が適用優先度をもっとも高い「1」に設定しているプログラムは、「MS14-007」「MS14-010」「MS14-011」の3件。

「MS14-007」は、「Windows」の「Direct2D」における脆弱性1件を修正するプログラム。悪意あるウェブページを閲覧し、脆弱性が攻撃を受けると不正なコードを実行されるおそれがある。

一方「MS14-010」では、「Internet Explorer」に存在する24件の脆弱性へ対処。サポート中であるすべてのIEが影響を受ける。そのうち「CVE-2014-0267」に関しては悪用は確認されていないものの、すでに公開されている。同脆弱性を含め、22件がメモリ破壊に関する脆弱性。

また「VBScriptエンジン」の脆弱性「CVE-2014-0271」を含むが、「IE 9」に関しては別途「MS14-011」を別途公開することで同脆弱性に対処した。

のこる1件の「緊急」とされるプログラムは、「MS14-008」で、「Microsoft Forefront Protection for Exchange」の問題を解決する。更新プログラムは、ダウンロードセンターからダウンロードして入手する必要がある。

「緊急」以外のプログラムは、いずれも深刻度が1段階低い「重要」3件。いずれも公開済みの脆弱性を含んでおり、そのうち2件については悪用が確認されているので注意が必要。

「MS14-005」は、「Microsoft XMLコアサービス」に含まれる脆弱性「CVE-2014-0266」に対処したもの。悪意あるウェブページなどへアクセスすると不正なコードを実行されるおそれがある。

2011月に修正プログラム「MS13-090」で「Kill Bit」の設定により修正された「InformationCardSigninHelper」の脆弱性「CVE-2013-3918」と組み合わせた標的型攻撃で悪用が確認されている。「MS13-090」を適用していれば、攻撃が成功することはなく、緊急性は低いとしている。

(Security NEXT - 2014/02/12 ) このエントリーをはてなブックマークに追加

PR

関連記事

「Apache Tomcat」に複数脆弱性 - 2月のアップデートで修正済み
「Chrome 89」が公開、セキュリティ関連で修正47件 - ゼロデイ脆弱性にも対応
「Microsoft Exchange Server」に定例外パッチ - ゼロデイ攻撃が発生
「Cisco NX-OS」に6件の脆弱性 - 重要度「クリティカル」も
「VMware vCenter Server」の深刻な脆弱性 - 悪用リスク上昇
「VMware vCenter Server」に深刻な脆弱性 - 「VMware ESXi」の脆弱性も
Windows向け「Zscaler Client Connector」に権限昇格の脆弱性
「Cisco Application Services Engine」などに深刻な脆弱性
「Movable Type」にXSSの脆弱性 - アップデートが公開
「Firefox 86」が公開、Cookie対策強化 - 脆弱性12件を修正