本日のVERTアラートでは新規マイクロソフトセキュリティ情報9件を取り上げています。
VERTは24時間SLAを満たすようこれらの情報を積極的におしらせし、1月13日水曜日にASPL-652をリリースする予定です。
リスクテーブル ： 悪用されやすいか（公表されたエクスプロイトが存在するか）、悪用された場合に取得される権限でマトリクス化
|
Automated Exploit
|
|||||||
|
Easy
|
|||||||
|
Moderate
|
|||||||
|
Difficult
|
|||||||
|
Extremely Difficult
|
MS16-001 MS16-005 |
MS16-004 MS16-007 |
|||||
|
No Known Exploit
|
MS16-002 MS16-003 MS16-006 |
MS16-010 |
MS16-008 |
||||
|
Exposure
|
Local
Availability |
Local
Access |
Remote
Availability |
Remote
Access |
Local
Privileged |
Remote
Privileged |
| MS16-001 | 複数のInternet Explorer (IE)用セキュリティ更新プログラム | KB3124903 |
| MS16-002 | 複数のMicrosoft Edge用セキュリティ更新プログラム | KB3124904 |
| MS16-003 | リモートでのコード実行に対処する複数の JScript および VBScript 用セキュリティ更新プログラム | KB2135540 |
| MS16-004 | リモートでのコード実行に対処するMicrosoft Office用のセキュリティ更新プログラム | KB2134585 |
| MS16-005 | リモートでのコード実行に対処するWindows カーネルモード ドライバー用のセキュリティ更新プログラム | KB3124584 |
| MS16-006 | リモートでのコード実行に対処するSilverlight用のセキュリティ更新プログラム | KB3126036 |
| MS16-007 | リモートでのコード実行に対処するMicrosoft Windows用のセキュリティ更新プログラム | KB3124901 |
| MS16-008 | 特権の昇格に対処する Windowsカーネル用のセキュリティ更新プログラム | KB3124605 |
| MS16-010 | Microsoft Exchange Serverのなりすまし対策用セキュリティ更新プログラム | KB3124557 |
MS16-001
新年を迎えましたが新たな局面はありませんでした。2016年の最初のマイクロソフトセキュリティ情報はInternet Explorer (IE)に向けたものです。今回の更新プログラムでは非常に興味深い点がいくつか存在します。この更新プログラムは、Internet Explorer (IE)の旧バージョン用に利用できる最後のアップデートであり、IEライフサイクルに関する詳細はここで確認することができます。
Internet Explorer (IE)の過去のバージョンについては、記載されているCVEのいずれもInternet Explorer (IE)7に対応していませんが、パッチが入手可能です。最終的には、Windows 10を含むすべてに対応する特記があり、Citrix XenDesktopを実行中のWindows 10ユーザは、ログインが遮断されるため、現在のアップデートの提供を受けないことが説明されています。この特記はXenDesktopを実行中の企業には重要になるでしょう。
CVE-2016-0005は公開済み
MS16-002
今年最初のアップデートはInternet Explorer (IE)用でした。そして、2番目の情報がMicrosoft Edge用のものになったことには意味があります。改めて、Windows 10のアップデートがCitrix XenDesktopを実行中のホストに提供されないことに留意することが重要でしょう。
MS16-003
次に登場するのがJScriptとVBScriptの更新です。従来通り、このアップデート利用時に使用中のシステムに対応するアップデートならびに使用中のInternet Explorer (IE)のバージョンにより必要となるアップデートに関する追加のガイダンスをMicrosoftが提供しています。
MS16-004
今月のその次のアップデートはMicrosoft Office、SharePoint ServerならびにVisual Basic 6.0 Runtime用のアップデートです。
CVE-2016-0035は公開済み
CVE-2015-6117は公開済み
MS16-005
MS16-005はWindows Kernel-Mode Drivers、特に、Win32k.sysとGDI32.dllのアップデートです。これにもWindows10アップデートはCitrix XenDesktopを実行中のシステムでは提供されない旨の、上述のMS16-001で記した特記が含まれています。
CVE-2016-0009は公開済み
MS16-006
Microsoft Silverlightの脆弱性はMS16-006で対策が行われています。特定のアプリケーション用に要求されない場合、Silverlightが現在使用されていないものとみなされることに注意が必要です。VERTが以前指摘したように、利用中のアプリケーションを確認し、Silverlightが不要な場合は、MS16-006を適用するのではなく、それをアンインストールすべきでです。
MS16-007
このアップデートは包括的なWindowsに関する組み込むべき複数の様々な要素を詰め合わせたものです。Windows10に関するDLL ローディング脆弱性、Direct Showのコード実行、MAPI DLL ローディングの権限昇格ならびにRDPのセキュリティバイパスの脆弱性がこれに含まれます。
まず、Windows 10が含まれるということは、Citrix XenDesktopに関する特記がここでも繰り返されることを指摘しておきましょう。CVE-2016-0019はさらに保証を記載しています。このWindows 10上のRDPに影響を与える脆弱性は攻撃者がパスワードセットを設定していないアカウントにログインする原因となる可能性があります。
CVE-2016-0016は公開済み
CVE-2016-0018は公開済み
MS16-008
今月の最終直前のアップデートは (MS16-009が撤回されたため) Windows Mount Point中の2つの特権昇格の脆弱性を解決します。今月の多くの他の情報と同様に、この情報にもCitrix XenDesktopを使用中のユーザにはWindows 10のアップデートが提供されない旨の特記があります。
MS16-010
今月の最後の情報は4つのMicrosoft Exchangeのなりすましに対する脆弱性です。これらの脆弱性の記述は、なりすましというよりOWA経由の悪用可能なサイト間のスクリプトの問題のようです。
追加情報
AdobeがAdobe AcrobatおよびReaderの複数の脆弱性に対処するAPSB16-02を公開しました。
VERTではいつものように、これらのパッチのすべてをなるべく早急に適用されるようお勧めしますが、それらのパッチを適用される前に入念にお調べになる（可能であれば）こともお勧めいたします。
元の記事はこちらからご覧いただけます。
