本日のVERTアラートでは、14件の新しいMicrosoftセキュリティ情報を取り上げています。VERTは24時間SLAを満たすよう、これらの情報を積極的にお知らせし、11月9日水曜日にASPL-698をリリースする予定です。
リスクテーブル ： 悪用されやすいか（公表されたエクスプロイトが存在するか）、悪用された場合に取得される権限でマトリクス化
|
Automated Exploit
|
MS16-132 MS16-135 | ||||||
|
Easy
|
|||||||
|
Moderate
|
|||||||
|
Difficult
|
|||||||
|
Extremely Difficult
|
MS16-129 MS16-142 | ||||||
|
No Known Exploit
|
MS16-131 MS16-133 MS16-138 MS16-140 MS16-141 | MS16-130 MS16-134 MS16-136 MS16-137 MS16-139 | |||||
|
Exposure
|
Local Availability
|
Local Access
|
Remote Availability
|
Remote Access
|
Local Privileged
|
Remote Privileged
|
| MS16-129 | Microsoft Edge用累積セキュリティ更新プログラム | KB3199057 |
| MS16-130 | Microsoft Windows用セキュリティ更新プログラム | KB3199172 |
| MS16-131 | Microsoft Video Control用セキュリティ更新プログラム | KB3199151 |
| MS16-132 | Microsoft Graphics Component用セキュリティ更新プログラム | KB3199120 |
| MS16-133 | Microsoft Office用セキュリティ更新プログラム | KB3199168 |
| MS16-134 | Common Log File System Driver用セキュリティ更新プログラム | KB3193706 |
| MS16-135 | Windows Kernel-Mode Drivers用セキュリティ更新プログラム | KB3199135 |
| MS16-136 | SQL Server用セキュリティ更新プログラム | KB3199641 |
| MS16-137 | Windows Authentication Methods用セキュリティ更新プログラム | KB3199173 |
| MS16-138 | Microsoft Virtual Hard Disk Driver用セキュリティ更新プログラム | KB3199647 |
| MS16-139 | Windows Kernel用セキュリティ更新プログラム | KB3199720 |
| MS16-140 | Boot Manager用セキュリティ更新プログラム | KB3193479 |
| MS16-141 | Adobe Flash Player用セキュリティ更新プログラム | KB3202790 |
| MS16-142 | Internet Explorer用累積セキュリティ更新プログラム | KB3198467 |
MS16-129
他の月とは異なり、今月の情報はMicrosoft Edge用の累積アップデートから始まります。おそらく10月末にリリースされたFlash Out-of-Bandの情報IDが変更されたため、通常月例最初の情報のInternet Explorerは最後になります。この情報はInternet ExplorerのMS16-142と共有される多数のCVE、多数のスクリプトエンジンアップデート、そしてEdge特有の脆弱性の両方を含んでます。この脆弱性のペアのうちひとつはHTTPレスポンスの解析に関係しています。
CVE-2016-7209は悪用されました。
CVE-2016-7199は悪用されました。
MS16-130
今月2番目の情報はMicrosoft Windowsにおける3つの関連性のない脆弱性を修正します。これは画像解析におけるドライブバイ攻撃ベクトルの潜在的な可能性と、Windows Input Method Editor及びTask Scheduler における特権昇格脆弱性の両方を含みます。Task Schedulerの変更はセキュリティ強化されたUNCパスがスケジュールされたタスクに使用されることを必要とし、これは起こりうるエラーのためにパッチを適用した後に、既存のスケジュール済みタスクを見直すべきであることを意味しています。
MS16-131
次に、Microsoft Video Controlには悪意のあるファイルを通してのコード実行を許可する可能性のあるひとつの脆弱性があります。ここでのさらに重要な注意点のひとつは、Outlook Preview Paneもまた影響を受け、この脆弱性に対するリスクを増幅させるということです。
MS16-132
MS16-132はMicrosoft Graphics Componentsに影響する4つの脆弱性に対する修正を含みます。ユーザ環境における情報暴露とコード実行に加え、この情報は侵害されたシステムの完全なコントロールにつながる2つの脆弱性を解決します。
CVE-2016-7256は悪用されました。
MS16-133
今月のOffice情報はMicrosoft Word、Excel、PowerPointに影響する脆弱性、またSharePoint及びOffice Web Apps Server上のExcel及びWordサービスの脆弱性を解決します。この大半の脆弱性は現在のユーザ環境でのコード実行につながるものですが、情報暴露とDoS攻撃脆弱性もあります。
MS16-134
MS16-134では、Windows Common Log File System（CLFS）ドライバに影響する特権昇格脆弱性が多数あります。CLFSはWindows SDK経由のユーザモードのログサービス、ドライバ経由のカーネルモードのログサービスを提供します。この脆弱性はカーネルモードのログサービスに影響し、これはこれらの脆弱性の悪用が成功すると、攻撃者により高い環境でコードを動作させることを許可するということを意味しています。
MS16-135
Windows Kernel-Mode Driversアップデートはここ数年たびたび情報に登場しており、今月再び登場しました。この情報で解決された5つの脆弱性は、2つの情報暴露問題と3つの特権昇格が含まれています。Microsoftによると、自然状態で悪用されたCVE-2016-7255 は、ユーザのためにWindows 10 Anniversaryアップデートにマイグレーションされました。
CVE-2016-7255は悪用、公開されました。
MS16-136
今月のより複雑なリリースのひとつは、SQLサーバのアップデートです。この情報は、あなたが現在使っているSQLサーバのバージョンに基づき、それに適したアップデートを示す表を含んでいます。SQL Server 2012への4つのアップデート、SQL Server 2014への4つのアップデート、そしてSQL Server 2016への2つのアップデートが存在するので、正しいものを選択、クリックするようにしてください。これらの脆弱性はSQLサーバのデータベースエンジン、MDS API、SQL Analysis Services、そしてSQLServerエージェントに影響を与えます。この情報はまた、136と番号がつけられた情報が初めて出てきた、2016年を最もMicrosoftセキュリティ情報が発表された年とするものでもあります。
MS16-137
次はWindows NTLMパスワード変更キャッシュ、LSASS、そして Windows Virtual Secure Modeにある脆弱性を解決するWindows Authenticationメソッドの情報です。興味深いことに、Windows 10ではWindows 10リリースバージョンにのみ影響し、1511もしくは1607アップデートには影響しません。
MS16-138
攻撃者がアクセスできるべきではないファイルを操作するのを許可してしまう可能性がある複数のWindows Virtual Hard Disk Driver 脆弱性が MS16-138によって解決されます。
MS16-139
MS16-139はWindows Vista、7、Server 2008、そして2008 R2に影響する単一のWindows Kernel脆弱性を解決します。
MS16-140
これは今月の情報の中でもより興味深いもののひとつで、Windows セキュア ブートバイパスに対する防護のためのファームウェアアップデートが含まれています。この脆弱性はファームウェア上のブートポリシーを無効にすることによって解決することができますが、これらのポリシーはプラットフォームによって異なる場合があります。保護には「ベースライン」と「拡張」の2段階があります。ベースライン保護のみのシステムは、追加のファームウェアが入手可能かどうかOEMに確認することをおすすめします。
MS16-141
今月最後から2番目のアップデートはAdobe Flashアップデートです。通常は最後のアップデートですが、IEが最後の情報に移行されたため、この情報が最後から2番目となりました。この情報はAPSB16-37によって解決される脆弱性を取り上げています。
MS16-142
今月最後の情報は、最初のMS16-129で言及されたCVEと同様の脆弱性を多く含む、Internet Explorerの数多くの脆弱性を解決します。これらの解決に加え、XSS フィルター正規表現ハンドラのための修正が含まれています。
追加情報
例によってVERT は、これら全てのパッチを出来る限り速やかに適用することを推奨しています。同時に （可能であれば）十分パッチを検証してから本番システムに適用することをお勧めしています。
元の記事はこちらからご覧いただけます。
