Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

MS、5月の月例パッチで脆弱性73件に対処 - ゼロデイ脆弱性を修正

共通脆弱性評価システム「CVSSv3」におけるベーススコアを見ると、「7.0」以上と評価されている脆弱性が50件。「9.0」以上は3件で「CVE-2022-26937」「CVE-2022-22012」「CVE-2022-29130」のいずれも「9.8」と評価されている。

ただし、重要度の評価は異なる。「ネットワークファイルシステム(NFS)サービス」に対する細工した読み出しによって、リモートよりコードを実行されるおそれがある「CVE-2022-26937」については「クリティカル(Critical)」。

一方、「Windows LDAP」に明らかとなった「CVE-2022-22012」「CVE-2022-29130」については「重要(Important)」とした。

また「Windows LSA」に明らかとなったなりすましの脆弱性「CVE-2022-26925」については、すでに公開されていおり、悪用も確認されている。

脆弱性を悪用されると認証なしに「LSARPC」のインターフェースよりメソッドを呼び出し、NTLMを使用して攻撃者に認証するようドメインコントローラーに強制が可能となる。

重要度は「重要(Important)」でCVSS基本値は「8.1」と評価されているが、「Active Directory Certificate Services(AD CS)」に対する「NTLMリレー攻撃」と組み合わせることでスコアが「9.8」へと上昇するため注意が必要。

(Security NEXT - 2022/05/11 ) このエントリーをはてなブックマークに追加

PR

関連記事

「Firefox 124.0.1」が公開、深刻な脆弱性2件を解消
ブラウザ「MS Edge」にアップデート - 9件の脆弱性を修正
応募QRコードから応募者の個人情報が閲覧可能に - アトレチコ鈴鹿
特別支援学校で生徒の個人情報含む動画を誤公開 - 埼玉県
USBメモリを紛失、暗号化済みだがPW貼付 - NEXCO西日本
送信した表計算ファイルの非表示部分に無関係の個人情報 - 朝日新聞
サイト改ざんで別サイトへ誘導 - 聖マリアンナ医科大東横病院
先週注目された記事(2024年3月10日〜2024年3月16日)
「違法情報」の通報が約28.2%増 - 「犯罪実行者募集」は4000件超
Google、ブラウザ最新版「Chrome 123」をリリース - 複数脆弱性を修正