1月の月例パッチは「緊急」1件含む8件 - 一部ですでに悪用も

のこる7件は、深刻度が1段階低い「重要」にレーティングされている。「MS15-001」では、Windowsアプリケーションにおける互換性のキャッシュ、「MS15-003」では「Windows User Profile Service」、「MS15-004」では「Windowsコンポーネント」、「MS15-008」では「Windows カーネルモードドライバ」と、それぞれの更新で特権の昇格が生じる脆弱性を解消した。

「MS15-004」は、細工が施されたアプリケーションを実行するとディレクトリトラバーサルの脆弱性により特権の昇格が生じるもので、ほかの脆弱性と組み合わせ、すでに悪用されているという。くわえて「MS15-001」「MS15-003」に関してはすでに脆弱性が公表されており、今後注意が必要だ。

さらにセキュリティ機能がバイパスされる問題に対しても「MS15-005」「MS15-006」にて対応。「MS15-005」では「Network Location Awarenessサービス」の脆弱性を修正。「MS15-006」では「Windowsエラー報告」に存在する脆弱性へ対処している。

そのほか、ネットワークポリシーサーバにおいてRADIUS実装の問題によりサービス拒否が発生する脆弱性については、「MS15-007」で解決した。

（Security NEXT - 2015/01/14 ） ツイート

PR

関連記事

「SharePoint Server」の複数脆弱性悪用で対策呼びかけ - 米当局
データ分析可視化製品「Ivanti Xtraction」に複数脆弱性
「FortiOS」に複数脆弱性 - アップデートで修正
「Microsoft Defender」に権限昇格の脆弱性 - 修正を実施
「Firefox」にクリティカル脆弱性 - 攻撃コード公開、悪用は未確認
「nginx」に複数脆弱性、「クリティカル」も - 修正版を公開
「Dell PowerFlex」に深刻な脆弱性 - 6月の更新で修正済み
米CISA、「FortiSandbox」「SharePoint」の脆弱性悪用を警告
「SAP」が月例更新、16件の新規アドバイザリ - 3件が「クリティカル」
「Oracle EBS」やビル設備向けプロトコルの脆弱性を悪用する攻撃