本日のVERTアラートでは新規マイクロソフトセキュリティ情報13件を取り上げています。
VERTは24時間SLAを満たすようこれらの情報を積極的にお知らせし、2月10日水曜日にASPL-656をリリースする予定です。
リスクテーブル ： 悪用されやすいか（公表されたエクスプロイトが存在するか）、悪用された場合に取得される権限でマトリクス化
|
Automated Exploit
|
|||||||
|
Easy
|
MS16-015 |
||||||
|
Moderate
|
|||||||
|
Difficult
|
|||||||
|
Extremely Difficult
|
MS16-014 |
||||||
|
No Known Exploit
|
MS16-009 MS16-011 MS16-013 MS16-016 MS16-022 |
MS16-019 MS16-020 MS16-021 |
MS16-017 MS16-018 |
||||
|
Exposure
|
Local
Availability |
Local
Access |
Remote
Availability |
Remote
Access |
Local
Privileged |
Remote
Privileged |
| MS16-009 | 複数のInternet Explorer(IE)用セキュリティ更新プログラム | KB3134220 |
| MS16-011 | 複数のMicrosoft Edge用セキュリティ更新プログラム | KB3134225 |
| MS16-012 | Microsoft Windows PDF ライブラリ用セキュリティ更新プログラム | KB3138938 |
| MS16-013 | Windows Journal用セキュリティ更新プログラム | KB3134811 |
| MS16-014 | Microsoft Windows用セキュリティ更新プログラム | KB3134228 |
| MS16-015 | Microsoft Office用セキュリティ更新プログラム | KB3134226 |
| MS16-016 | WebDAV用セキュリティ更新プログラム | KB3136041 |
| MS16-017 | Remote Desktop Display Driver用セキュリティ更新プログラム | KB3134700 |
| MS16-018 | Windows Kernel-Mode Drivers用セキュリティ更新プログラム | KB3136082 |
| MS16-019 | .NET Framework用セキュリティ更新プログラム | KB3137893 |
| MS16-020 | Active Directory Federation Services用セキュリティ更新プログラム | KB3134222 |
| MS16-021 | NPS RADIUS Server用セキュリティ更新プログラム | KB3133043 |
| MS16-022 | Adobe Flash Player用セキュリティ更新プログラム | KB3135782 |
MS16-009
先月公開されなかった更新プログラムがどのようなものか疑問に思い、今月MS16-009が公開されれば分かるだろうと楽しみにしていました。しかし、マイクロソフトはこのMS16-009のセキュリティ情報で2月のInternet Explorer用累積更新プログラムを提供したので、どの更新プログラムが1月の月例公開のパッチ情報から除外されたのかを判断できなくなりました。Internet Explorerに関して言えば、今月の更新プログラムに特別な点は見当たりません。
MS16-011
次は、最近では恒例となった新しいEdgeに関するセキュリティ情報です。この情報で両ブラウザが影響を受ける脆弱性なのか、一方のブラウザのみ影響を受ける脆弱性なのかを容易に判別することができます。
MS16-012
ブラウザ以外に関する今月ひとつ目のセキュリティ情報は、比較的新しいマイクロソフトOSに最近追加されたMicrosoft PDF ライブラリに関する2つの脆弱性を解決します。つまり、影響を受けるのはWindows 8.1、Server 2012またはServer 2012 R2とWindows 10のみです。
MS16-013
次は、Windows Journalに関する脆弱性がひとつあります。以前の警告でも触れましたが、Windows Journalが実際に必要なユーザは少ないので、使用していないのであれば、現在あるWindows Journalとのファイルの関連付けは全て削除した方が良いでしょう （例えば、.jnt）。
MS16-014
次のセキュリティ情報は、サポートされているWindowsの全バージョンが影響を受けるWindows全般の複数の脆弱性に関してです。特権の昇格の問題とDLL関連の問題がいくつかありますが、セキュリティ情報の最後に興味深い項目が挙げられています。Kerberosはユーザがサインインした時のパスワード変更を検知できないので、攻撃者が認証をバイパスしてBitLockerを利用するドライブを解読できる可能性があります。
CVE-2016-0040は一般公開
MS16-015
今月のMicrosoft Office用の更新プログラムはMicrosoft WordとExcelの複数のメモリ破損に対処し、これにはSharePoint Serverにインストールされているサービスも含まれます。SharePointのクロスサイトスクリプティングの問題も解決します。
CVE-2016-0039は一般公開
MS16-016
次はWebDAVクライアントが影響を受ける特権の昇格に関する脆弱性です。Windowsのサポートされている全バージョンが影響を受けるが、サーバはDesktop Experienceのソフトウェアがインストールされている場合のみ影響を受けます。
MS16-017
MS16-017はRemote Desktop Protocol (RDP) が影響を受けるひとつの脆弱性について説明しており、これによりログインしたユーザの特権が昇格される可能性があります。
MS16-018
今月のKernel-Mode Drivers用の更新プログラムは、ここ数ヶ月のものに比べてかなり小さいものです。今月はwin32k.sysの脆弱性がひとつ挙げられたのみでした。
MS16-019
今月の.NET Framework用の更新プログラムで挙げられている.NETのバージョンは、直近数ヶ月に比べ減っています。このことから、.NET Frameworkの一部のバージョンはもうサポートされていないことをご注意ください。具体的には4.0、4.5、4.5.1です。このセキュリティ情報にこれらのバージョンが含まれていないのは影響を受けないからではなく、単にパッチの対象ではないということになります。これらのバージョンのどれかをインストールしている場合は、できる限り早急にアンインストールしてサポートされているバージョンにアップグレードすることをお勧めします。
MS16-020
次はMicrosoft Active Directory Federation Services (ADFS) のサービス拒否の脆弱性です。MS ADFSは複数のプラットフォームに渡るフェデレーションサービスを提供するために使用されており、シングルサインオンが一般的です。この特定のサービス拒否は、フォームベース認証時の入力に関連するものです。
MS16-021
今月の最後から2つ目の更新プログラムは、Network Policy Server (NPS) のRADIUSサーバへの認証要求に関するサービス拒否に対処するものです。状況次第で、攻撃者はNPSでのRADIUS認証を妨げることができるようになります。
MS16-022
最後のセキュリティ情報は喜ばしい変化です。マイクロソフトがInternet ExplorerとEdgeに組み込まれているFlash Playerのバージョンに関連する脆弱性についてセキュリティ情報を公開するのは初めてです。これは、2012年9月からほぼ毎月更新されてきたセキュリティアドバイザリ (2755801) に取って代わるものです。このセキュリティアドバイザリはバージョン53止まりで、毎月公開される新しいセキュリティ情報が以前のものに取って代わるようです。
追加情報
AdobeはAPSB16-04をリリースし、Flash Playerの複数の脆弱性に対処しました(上記MS16-022と同じ)。
VERTではいつものように、これらのパッチのすべてをなるべく早急に適用されるようお勧めしますが、それらのパッチを適用される前に入念に調査する（可能であれば）こともお勧めいたします。
元の記事はこちらからご覧いただけます。
