MS、深刻度「緊急」4件含む月例パッチ7件を公開 - ゼロデイ脆弱性2件を修正

一方、「MS14-009」は、「.NET Framework」の脆弱性3件を解消した。そのうち2件の脆弱性がすでに公開されており、なかでもメモリのランダム化によるセキュリティ対策「ASLR」を回避する脆弱性「CVE-2014-0295」は、標的型のゼロデイ攻撃に利用されている。

同脆弱性は、単独ではなく他脆弱性を利用した攻撃において、セキュリティ対策を回避するために用いられている。実際に悪用されているが、どのような攻撃に悪用されているかについては、同社は言及を避けた。

「Windows 8」では、規定で「ASLR」をすべてのプログラムに適用するため、同脆弱性の悪用を防ぐことが可能となっている。「Windows 7」は設定の変更により同機能を活用でき、Vista以前では「Enhanced Mitigation Experience Toolkit（EMET）」によって脆弱性の影響を緩和することが可能。

また「MS14-009」については、複数のプログラムで構成されており、自動更新では特に意識する必要はないが、手動で適用する場合は適用漏れに注意する必要がある。

「MS14-006」では、IPv6の脆弱性「CVE-2014-0254」を修正。サービス拒否が発生する脆弱性で、脆弱性は公開されているが、悪用は発生していない。

（Security NEXT - 2014/02/12 ） ツイート

PR

関連記事

ID管理基盤「OpenAM」に複数の「クリティカル」脆弱性
「Roundcube」に複数の脆弱性 - 更新を強く推奨
「Chrome」にセキュリティアップデート - ゼロデイ脆弱性に対応
NASでも利用されるメディアサーバを狙った脆弱性攻撃に注意
特定環境の「OpenSSH」に認証回避のおそれ - 「Alpine Linux」など影響
データ連携基盤「Airbyte」に脆弱性 - 悪用も確認
「SonicOS」のSSL VPNに認証回避の脆弱性 - 悪用報告も
NVIDIAのAIエージェント開発支援ツールに深刻な脆弱性
Linuxカーネル、IPv4のTCP接続処理に深刻な脆弱性 - 実証報告も
「Barracuda ESG」に深刻な脆弱性 - 連鎖でroot取得のおそれ