【Windows】MSが2月の月例セキュリティパッチを公開–IEのゼロデイ脆弱性のパッチも

1: へっぽこ立て子@エリオット ★ 2019/02/13(水) 13:28:33.60 ID:CAP_USER

 Microsoftは米国時間2月12日、2月の月例セキュリティパッチ(いわゆる「Patch Tuesday」)を公開した。今回の月例パッチでは、「Microsoft Edge」から「Azure IoT SDK」までを含むさまざまな製品の77件のセキュリティホールが修正されている。

修正された中でもっとも重大な問題は「Internet Explorer」に存在するゼロデイ脆弱性だ。同社によれば、この脆弱性はすでに悪用されているという。

同社は、このIEのゼロデイ脆弱性(CVE-2019-0676)について、「攻撃者がこの脆弱性の悪用に成功した場合、ディスク上のファイルの有無をテストできる可能性があります」と説明している。
CVE-2019-0676 | Internet Explorer の情報漏えいの脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-0676

今回は、ほかにも多くの重大な脆弱性が修正されている。

まず、リモートから任意のコードを実行される可能性がある、Server Message Block(SMB)の脆弱性が2件修正されている。SMBは、2017年に世界中に爆発的に広がったランサムウェアである「WannaCry」や「NotPetya」でも悪用されたサービスだ。

これらのバグ(CVE-2019-0630およびCVE-2019-0633)ではSMBの認証はバイパスされないため、前述のランサムウェアで使用された攻撃コード「EternalBlue」ほど深刻ではないが、SMBのクライアントサーバ通信の保護に簡単なパスワードしか使用していない企業では危険だ。
CVE-2019-0630 | Windows SMB のリモートでコードが実行される脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-0630
CVE-2019-0633 | Windows SMB のリモートでコードが実行される脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-0633

また、各バージョンの「Windows Server」に組み込まれているDHCPサーバコンポーネントにも、リモートからコードを実行される可能性がある脆弱性(CVE-2019-0626)が存在する。
CVE-2019-0626 | Windows DHCP Server のリモートでコードが実行される脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-0626

Microsoftによれば、脆弱性を持つDHCPサーバに特別に細工されたDHCPパケットを送信することによって、Windows Serverがハイジャックされる可能性がある。Windows Serverは企業ネットワークの重要なITインフラを構成していることが多いため、この脆弱性が悪用されると、甚大な被害が発生しかねない。

さらに同社は、「PrivExchange」として知られている脆弱性(CVE-2019-0686)も修正した。
CVE-2019-0686 | Microsoft Exchange Server の特権の昇格の脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-0686

1月末には、すでにPrivExchangeの概念実証コードが公開されている。このコードを利用すれば、「Microsoft Exchange 2013」以降に存在するバグを利用して、ハッキングされた電子メールアドレス1つから、社内のドメインコントローラーの管理者まで特権を昇格させることができる。

Microsoftは今回のパッチ公開以前にも、2月5日にこの脆弱性に関するセキュリティアドバイザリ(ADV190007)を公開し、システム管理者がサーバを攻撃から守るための緩和策を提供している。
ADV190007 | "PrivExchange" の特権の昇格の脆弱性に関するガイダンス
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/ADV190007

このほかに同社は、2月12日に2つ目のセキュリティアドバイザリ(ADV190006)を公開している。このアドバイザリは、Active Directoryサーバのフォレストの信頼を悪用する新たな種類の攻撃を緩和する方法を説明するものだ。
ADV190006 | Guidance to mitigate unconstrained delegation vulnerabilities(英文)
https://portal.msrc.microsoft.com/ja-jp/security-guidance/advisory/ADV190006
What Are Domains and Forests?: Active Directory | Microsoft Docs(英文)
https://docs.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2003/cc759073

この記事は海外CBS Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。
https://www.zdnet.com/article/microsoft-february-patch-tuesday-fixes-77-security-flaws-including-ie-zero-day/

2019年02月13日 11時40分
CNET Japan
https://japan.zdnet.com/article/35132639/

2: 名刺は切らしておりまして 2019/02/13(水) 13:33:32.37 ID:pQUujgaE
>>1
終わらない悪夢、民主党の残党とかいややで

 

3: 名刺は切らしておりまして 2019/02/13(水) 13:35:46.48 ID:UjMlaj3H
人柱はよ

 

4: 名刺は切らしておりまして 2019/02/13(水) 13:43:18.22 ID:LRX+fnUZ
eTax とかIEしか対応してないじゃん、そういうの無料で対応してやれよと

 

5: 名刺は切らしておりまして 2019/02/13(水) 14:24:13.85 ID:XTzZbhDA
モビルスーツのセキュリティか?

 

6: 名刺は切らしておりまして 2019/02/13(水) 20:50:15.65 ID:LbdWypXl

こないだの更新のアレみたいに
『IEはなくなりました』つって消しちゃえばいいんだよ

そうすればみんな対策するだろ、
サイト作る側が

 

7: 名刺は切らしておりまして 2019/02/13(水) 20:51:46.48 ID:o+uyCOGp
>>6
マジで言ってる?

 

8: 名刺は切らしておりまして 2019/02/13(水) 21:54:49.79 ID:tmGC3X7k
業務システムでactiveX使っているやつ
どうするんだろう…

 

11: 名刺は切らしておりまして 2019/02/14(木) 05:32:32.88 ID:PlalR9H/
今回は大丈夫だろうな 先月7の更新でひどい目にあったから

 

12: 名刺は切らしておりまして 2019/02/14(木) 15:39:47.26 ID:qaSCS3p9
必死のパッチ

 

13: 名刺は切らしておりまして 2019/02/15(金) 20:21:34.39 ID:SWaDG5/y
10ヲタしか使わんだろ

引用元

管理人からひと言

絶対にあてないぞ

 

関連記事

  1. 【IT】Microsoftが過去14年間・2億5000万件分のカスタマーサービスの記録をネット上に流…

  2. ■ Intel CPU等に深刻な欠陥 31

  3. 【IT】トランプ大統領のWikipedia画像がペニスに置き換えられる事態が発生

  4. 【IT】Adobeがセキュリティアップデートを予告

  5. 【IT】サイバー攻撃対策施した商品に認証マーク発行へ 来年4月から

  6. 名刺データベース、転職先に不正提供か 会社員の男逮捕

  7. 【IT】米当局、フェイスブックに巨額制裁金か

  8. 【IT】LINE Payで一部の利用者の決済情報 ネット上に漏えい

  9. 【IT】ネットを見ていたら突如「システム警告!」 新たな偽警告にご用心

コメント

  1. この記事へのコメントはありません。

  1. この記事へのトラックバックはありません。

最近の人気記事

おすすめ記事

  1. カテゴリ_security

新着記事

  1. 【プログラミング】Webエンジニアとかいうやつが最高にウザい
  2. Webエンジニアで年収270万スタートから900万まで登り詰めたんだけどさ
  3. 来年からWEBエンジニアになるんだけど副業で小中学生向けのプログラミング家庭教師…
  4. CPUクーラーって絶対に水冷がええの?
  5. AIに食われるの確定してるのに今プログラマーになろうと勉強してる奴なんなの?

ボンブの戯言

  1. 【ボンブの戯言】フリーランスが払う税金など6選!私たちはこんなに支払っている!
  2. 【ボンブの戯言】フリーランスのメリットを全否定してみた
  3. 【ボンブの戯言】ITエンジニアが徹夜してでも間に合わせる理由
  4. 【ボンブの戯言】ITエンジニアがフリーランスになる理由
  5. 【ボンブの戯言】ITエンジニアは、なぜうつ病になるのか
PAGE TOP