本日のVERTアラートではMicrosoftの2017年12月度のセキュリティアップデートを取り上げます。VERTは今回のアップデートの脆弱性を積極的に調査しており、ASPL-756を12月13日水曜日にリリースする予定です。
出回っている＆公開されているCVE
今月、一般に公開されているまたは活発に悪用されているMicrosoftの脆弱性はありません。しかし、説明するに値する脆弱性が2つあります。
CVE-2017-11885
興味深い脆弱性の1つは、Windows RRAS Service Remote Code Executionの脆弱性です。この脆弱性は、Windows RRAS Service Remote Code Executionを利用しているシステムのみが影響を受けますが、小規模企業がこのサービスを利用しているのは稀です。このサービスは2つの別々のサービスに別れています。ルーティング (典型的なハードウェアのルーターとは違いソフトウェアによるルーティング機能を提供) とリモート・アクセス (Windows環境でVPN機能を提供) です。
Microsoftはこの脆弱性を '悪用される可能性は低い' と評価していますが、RRASを利用している環境ではこの脆弱性に注意を払うべきでしょう。
Microsoftはこの脆弱性について、悪用可能性指標の2(悪用される可能性は低い) と評価しています。
CVE-2017-11937
先週、MicrosoftはこのCVEをOOBのアップデートとして公開しました。Microsoft Malware Protection Engine (MMPE) は48時間以内に自動で更新されるので、多くの人がこのアップデートを既に適用しています。CVE-2017-11937が公開された次の日には、2つ目のCVEであるCVE-2017-11940が公開されましたが、内容は同じものです。
Microsoftはこの脆弱性について、悪用可能性指標の2(悪用される可能性は低い) と評価しています。
その他の情報
12月のセキュリティガイダンスに含まれたMicrosoftの脆弱性情報に加えて、セキュリティ勧告も複数公表されています。
MICROSOFT OFFICE DEFENSE IN DEPTH UPDATE [ADV170021]
MicrosoftはWordのアップデートを公開しました。このアップデートにより、ユーザはDynamic Update Exchange (DDE) プロトコルの有効/無効を設定できます。
DECEMBER 2017 FLASH SECURITY UPDATE [ADV170022]
MicrosoftはAdobe Flashのアップデートを公開しました。このアップデートはAdobe Update APSB17-42に対応するものであり、CVE-2017-11305への修正が含まれます。
