2023 年 5 月の Microsoft セキュリティ更新プログラム：1 か月の脆弱性の件数が過去 3 年余りで最少に
Microsoft 社は本日、同社の製品群とソフトウェアで確認された 40 件の脆弱性について情報を公開しました。月例セキュリティ更新プログラムに含まれる脆弱性の件数としては、2019 年 12 月以降で最も少なくなっています。
ただし Microsoft 社によると、そのうちの 2 件の脆弱性が盛んに悪用されており、セキュリティ問題の月例更新で活発な悪用の事実が確認されたのは、これで 4 か月連続となります。
全体としては、7 件の「緊急」の脆弱性のほか、「重要」と評価された脆弱性が 33 件含まれています。
今月対応されたゼロデイ脆弱性の 1 件が CVE-2023-29336 で、これは Win32k カーネルモードドライバの特権昇格の脆弱性です。この脆弱性により SYSTEM レベルの権限が取得される可能性があります。
今月公開された脆弱性のうち最も深刻なものが CVE-2023-24941 です。Windows ネットワーク ファイル システム（NFS）のリモートコード実行の脆弱性であり、シビラティ（重大度）は 10 点中 9.8 点となっています。攻撃者が、認証されていない細工された呼び出しを NFS サービスに行ってネットワーク経由でこの脆弱性をエクスプロイトし、標的のマシンでコードを実行する恐れがあります。Microsoft 社は月例パッチのほかにも、影響を受けるユーザーが講じることのできる、この脆弱性のエクスプロイトを防ぐための緩和策をまとめて公開しています。
もう 1 件のリモートコード実行の脆弱性が Windows OLE に存在する CVE-2023-29325 で、こちらも「緊急」の脆弱性です。攻撃者にだまされた標的が細工された悪意のある電子メールを開くと、この問題が発生します。プレビュー画面でメールを開くだけでも、この脆弱性は引き起こされます。
CVE-2023-24955 もリモートコード実行の脆弱性で、Microsoft SharePoint Server に存在します。Microsoft 社はこの脆弱性について、「悪用される可能性が高い」と評価しています。
Microsoft のブラウザで Web ページをレンダリングするためのソフトウェアコンポーネントである MSHTML にも「緊急」の脆弱性があり、攻撃者が標的のデバイスで管理者権限を取得できるようになる可能性があります。ただし Microsoft 社によると、CVE-2023-29324 は先に説明した他の脆弱性よりも引き起こすのが難しく、「攻撃者は脆弱性を悪用する前に他の操作を行って標的の環境で準備を整える必要がある」とのことです。
今月のセキュリティ更新プログラムには、他にも「緊急」の脆弱性が含まれています。それが以下の 2 件ですが、Microsoft 社は「悪用される可能性は低い」と評価しています。
- CVE-2023-24943：Windows PGM のリモートコード実行の脆弱性
- CVE-2023-28283：Windows LDAP のリモートコード実行の脆弱性
以下の 3 件の脆弱性も「悪用される可能性が高い」と評価されています。ただし、深刻度評価は低めで「重要」となっています。
- CVE-2023-24949：Windows カーネルの特権昇格の脆弱性
- CVE-2023-24950：Microsoft SharePoint Server のなりすましの脆弱性
- CVE-2023-24954：Microsoft SharePoint Server の情報漏洩の脆弱性
Microsoft 社が今月公開した脆弱性の一覧については、更新ページをご覧ください。
Talos では今回公開された脆弱性の一部に対して、エクスプロイト試行を検出できるように新しい Snort ルールセットをリリースしました。今後、ルールが追加されたり、追加される情報によっては現行のルールが変更されたりする場合がありますのでご注意ください。Cisco Secure Firewall のお客様は SRU を更新し、最新のルールセットをご使用ください。オープンソースの Snort サブスクライバルールセットをお使いであれば、Snort.org で購入可能な最新のルールパックをダウンロードすることで、最新状態を維持できます。
今回のセキュリティ更新プログラムに対応してエクスプロイトを検出する Snort ルールは、61705 ～ 61707、61714 ～ 61720、61722、61723 です。
本稿は 2023 年 05 月 09 日に Talos Group
のブログに投稿された「Microsoft Patch Tuesday for May 2023 — Fewest vulnerabilities disclosed in a month in three-plus years
Tags:
