MS、深刻度「緊急」4件含む月例パッチ7件を公開 - ゼロデイ脆弱性2件を修正

一方、「MS14-009」は、「.NET Framework」の脆弱性3件を解消した。そのうち2件の脆弱性がすでに公開されており、なかでもメモリのランダム化によるセキュリティ対策「ASLR」を回避する脆弱性「CVE-2014-0295」は、標的型のゼロデイ攻撃に利用されている。

同脆弱性は、単独ではなく他脆弱性を利用した攻撃において、セキュリティ対策を回避するために用いられている。実際に悪用されているが、どのような攻撃に悪用されているかについては、同社は言及を避けた。

「Windows 8」では、規定で「ASLR」をすべてのプログラムに適用するため、同脆弱性の悪用を防ぐことが可能となっている。「Windows 7」は設定の変更により同機能を活用でき、Vista以前では「Enhanced Mitigation Experience Toolkit（EMET）」によって脆弱性の影響を緩和することが可能。

また「MS14-009」については、複数のプログラムで構成されており、自動更新では特に意識する必要はないが、手動で適用する場合は適用漏れに注意する必要がある。

「MS14-006」では、IPv6の脆弱性「CVE-2014-0254」を修正。サービス拒否が発生する脆弱性で、脆弱性は公開されているが、悪用は発生していない。

（Security NEXT - 2014/02/12 ） ツイート

PR

関連記事

「Cisco FMC」に深刻な脆弱性 - 認証なしでコマンド実行のおそれ
Cisco、ファイアウォール製品群にアドバイザリ21件を公開
「Apache Tomcat」にアップデート - 脆弱性「MadeYouReset」を解消
「HTTP/2」実装に「MadeYouReset」脆弱性 - DoS攻撃のおそれ
「Exchange Server」のハイブリッド構成に深刻な脆弱性 - MSが定例外アドバイザリ
秘密管理ツール「OpenBao」に脆弱性 - 任意のコード実行が可能に
N-ableのIT管理ツールにゼロデイ脆弱性 - 米当局が悪用に注意喚起
Palo Alto、セキュリティアドバイザリ6件を公開
「Spring Framework」に脆弱性 - アップデートで修正
LLMキャッシュ管理ツールにRCE脆弱性 - キャッシュ汚染に起因