9月のMS月例パッチで「悪用なし」の脆弱性 - 7月以前に悪用

現地時間9月10日の月例セキュリティ更新で修正された「Windows MSHTMLプラットフォーム」の脆弱性「CVE-2024-43461」が、7月以前に悪用されていた「ゼロデイ脆弱性」であることがわかった。

同脆弱性は、「Windows MSHTMLプラットフォーム」において「なりすまし」が可能となる脆弱性。共通脆弱性評価システム「CVSSv3.1」のベーススコアは「8.8」、重要度は上から2番目にあたる「重要（Important）」とレーティングされている。

マイクロソフトでは9月の月例セキュリティ更新で脆弱性を公開した際、悪用を否定していたが、現地時間9月13日に情報を更新。「悪用済み」であるとステータスを変更した。

同脆弱性に関しては、Zero Day Initiativeが悪用を確認し、6月にマイクロソフトへ報告したが、9月の月例パッチ公開時に悪用への言及がないことに疑問を呈していた。

マイクロソフトは、7月より前に「CVE-2024-38112」と関連する攻撃チェーンの一部として「CVE-2024-43461」が悪用されていたことを明かす一方、7月の月例セキュリティ更新プログラムで「CVE-2024-38112」の修正プログラムをリリースし、攻撃チェーンを断ち切っていたと釈明した。

これら脆弱性の悪用から完全に保護するには、7月、9月にリリースしたセキュリティ更新プログラムの双方をインストールする必要があると説明。利用者に対応を呼びかけている。

（Security NEXT - 2024/09/17 ）ツイート