本日のVERTアラートではMicrosoftの2017年6月度のセキュリティアップデートを取り上げます。
VERTは今回のアップデートの脆弱性を積極的に調査しています。また、ASPL-729のリリースは6月14日の水曜日になる予定です。
出回っている＆公開されているCVE
CVE-2017-8543
Microsoftのセキュリティガイダンスによると、MicrosoftはWindows Searchサービスにあるコード実行脆弱性がCVE-2017-8543に対する悪用として出回っていることを認識しています。この脆弱性によって、認証を受けていない攻撃者が悪意あるSMBパケットを用いてシステムの制御を乗っ取ることができます。
Microsoftはこの脆弱性について、悪用可能性指標の1 (悪用される可能性が高い) と評価しています。
CVE-2017-8530
Microsoftによると、同一生成元バイパスが明らかになっています。同一生成元ポリシーはwebページがそのページに由来しないデータに確実にアクセスできないように設計されています。このバイパスはMicrosoft Edgeに存在しています。
Microsoftはこの脆弱性について、 悪用可能性指標 の1 (悪用される可能性は低い) と評価しています。
CVE-2017-8464
Microsoftのショートカット (.LNKファイル) の脆弱性の悪用は公になっています。ユーザーが悪意のある.LNKファイルにアクセスするかこのファイルを共有した場合、ユーザーのコンテキストでコードが実行されます。この脆弱性はメモリカード / フラッシュドライブのマルウェアの第一候補であり、製造過程で紛れ込んだ場合は、非常に効果的なものになります。
Microsoftはこの脆弱性について、 悪用可能性指標 の1 (悪用を確認済み) と評価しています。
CVE-2017-8523
一般に明らかになっている2つ目の同一生成元バイパスがMicrosoft Edgeにさらに存在しています。
Microsoftはこの脆弱性について、 悪用可能性指標 の1 (悪用を確認済み) と評価しています。
CVE-2017-8498
この記事で紹介する最後の脆弱性はMicrosoft Edgeの情報漏えいの脆弱性です。この脆弱性により、攻撃者はインストールされたブラウザのエクステンションを検知することができます。
Microsoftはこの脆弱性について、 悪用可能性指標 の2 (悪用を確認済み) と評価しています。
脆弱性の参考情報
本日修正された多くの問題は火曜日のパッチの代表的なものですが、注目に値するものがいくつかあります。
マイクロソフト セキュリティ アドバイザリ 4025685
Microsoftは2008年まで遡ってよく知られた (いくつかあまり知られていないものもある) 脆弱性のやや量の多いリストを公開しています。現在サポートしているオペレーティングシステムのパッチに加えて、Windows XPやServer 2003など、サポート外の複数のオペレーティングシステムが利用できるアップデートを実施しました。このうちのいくつかのCVEは以前言及されたものではなく、また、古いオペレーティングシステムだけが影響を受けます。この勧告全て (関連ガイダンスも同様) を必ず検討して、利用環境に対するリスクを最小限に抑えてください。Microsoftはこの勧告の中で、リスクがこれまで高まっていること、国家への攻撃の脅威が存在することを理由に、今回のガイダンスを利用可能にしたと述べています。
その他の情報
6月のセキュリティガイダンスに含まれているMicrosoftの脆弱性に加えて、セキュリティ勧告も公開されました。
6月のFlashのセキュリティ更新 [ADV170007]
Microsoftは6月のFlashのセキュリティ更新に対する勧告を公開しました (APSB17-17)。この勧告には次の脆弱性に対する更新が含まれています : CVE-2017-3075, CVE-2017-3076, CVE-2017-3077, CVE-2017-3078, CVE-2017-3079, CVE-2017-3081, CVE-2017-3082, CVE-2017-3083, CVE-2017-3084。
