脅威リサーチ

Microsoft セキュリティ更新プログラム（月例）：2022 年 7 月に公開された脆弱性と、対応する Snort ルール

TALOS Japan
2022年7月18日

Microsoft 社は本日、月例のセキュリティ更新プログラムをリリースし、同社のさまざまなソフトウェア、ハードウェア、ファームウェア製品で確認された 80 件を超す脆弱性についての情報を公開しました。公開された脆弱性の中には活発にエクスプロイトされているものもあります。

7 月のセキュリティ更新プログラムには 3 件の「緊急」の脆弱性が含まれており、先月から 1 件増えていますが、Microsoft 月例パッチの平均と比べれば少ない件数にとどまっています。今回修正された他の脆弱性はすべて「重要」と評価されています。

3 件の緊急の脆弱性はすべて、Microsoft Windows システムでのリモートコード実行を可能にするものです。これらの脆弱性 CVE-2022-22029、CVE-2022-22038、CVE-2022-22039 について Microsoft 社は、悪用される可能性は低いと評価しています。

CVE-2022-22029 は、ネットワークファイルシステム（NFS）に対して、認証されていない、細工された呼び出しを行うことで、ネットワークを介して悪用される可能性があります。ただし Microsoft 社によると、攻撃条件の複雑さは高く、継続的または断続的にデータを送信して繰り返しエクスプロイトを試行する必要があるようです。

CVE-2022-22038 も緊急の脆弱性ですが、エクスプロイトはより困難だとされています。標的の環境でエクスプロイトの準備を行うには非公開の追加アクションが必要となるからです。

リモートコード実行の脆弱性はもう 1 件あり、それが CVE-2022-22039 です。これは Windows ネットワークファイルシステムの脆弱性ですが、エクスプロイトするには攻撃者が競合状態に勝つ必要があるため、悪用される可能性は低くなります。

Microsoft Azure Batch Node Agent には、リモートでコードが実行される脆弱性 CVE-2022-33646 が存在します。Microsoft 社はこの脆弱性が悪用される可能性が高いと評価しています。ただし、攻撃元区分はローカルとなっており、深刻度は引き下げられています。この脆弱性を緩和するには、Microsoft 社が推奨するベストプラクティスに従って、定期的に Azure ノードプールのサイズをゼロに変更し、エージェントを最新バージョンに更新する必要があります。

緊急ではなく「重要」と評価されている脆弱性のうち、CVE-2022-22047 には特に注意したほうがよいでしょう。ローカル特権昇格の脆弱性であり、実際に悪用されていると報告されています。

このほか、悪用される「可能性が高い」と Microsoft 社が評価している 5 件の重要な脆弱性も挙げておきます。

CVE-2022-30202 — Windows Advanced Local Procedure Call の特権の昇格に関する脆弱性
CVE-2022-30215 — Active Directory フェデレーションサービスの特権の昇格の脆弱性
CVE-2022-30216 — Windows Server Service の改ざんの脆弱性
CVE-2022-30220 — Windows 共通ログファイルシステムドライバの特権の昇格の脆弱性
CVE-2022-22034 — Windows Graphics コンポーネントの特権の昇格の脆弱性

Microsoft 社が今月公開した脆弱性の一覧については、更新ページをご覧ください。

Talos では今回公開された脆弱性の一部に対して、エクスプロイト試行を検出できるように新しい Snort ルールセットをリリースしました。今後、脆弱性に関する新たな情報が追加されるまでの間は、ルールが追加されたり、現行のルールが変更されたりする場合がありますのでご注意ください。Cisco Secure Firewall のお客様は SRU を更新し、最新のルールセットをご使用ください。オープンソースの Snort サブスクライバルールセットをお使いであれば、Snort.org で購入可能な最新のルールパックをダウンロードすることで、最新状態を維持できます。

今回のセキュリティ更新プログラムに対応してエクスプロイトを検出する Snort 2 ルールは、60191、60192、60198、60199、60201、60202、60206、60207、60213、60214 です。このほか、Snort 3 ルール（300215、300216）も展開できます。