【Windows】MSが2月の月例セキュリティパッチを公開–IEのゼロデイ脆弱性のパッチも

1: へっぽこ立て子@エリオット ★ 2019/02/13(水) 13:28:33.60 ID:CAP_USER

 Microsoftは米国時間2月12日、2月の月例セキュリティパッチ(いわゆる「Patch Tuesday」)を公開した。今回の月例パッチでは、「Microsoft Edge」から「Azure IoT SDK」までを含むさまざまな製品の77件のセキュリティホールが修正されている。

修正された中でもっとも重大な問題は「Internet Explorer」に存在するゼロデイ脆弱性だ。同社によれば、この脆弱性はすでに悪用されているという。

同社は、このIEのゼロデイ脆弱性(CVE-2019-0676)について、「攻撃者がこの脆弱性の悪用に成功した場合、ディスク上のファイルの有無をテストできる可能性があります」と説明している。
CVE-2019-0676 | Internet Explorer の情報漏えいの脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-0676

今回は、ほかにも多くの重大な脆弱性が修正されている。

まず、リモートから任意のコードを実行される可能性がある、Server Message Block(SMB)の脆弱性が2件修正されている。SMBは、2017年に世界中に爆発的に広がったランサムウェアである「WannaCry」や「NotPetya」でも悪用されたサービスだ。

これらのバグ(CVE-2019-0630およびCVE-2019-0633)ではSMBの認証はバイパスされないため、前述のランサムウェアで使用された攻撃コード「EternalBlue」ほど深刻ではないが、SMBのクライアントサーバ通信の保護に簡単なパスワードしか使用していない企業では危険だ。
CVE-2019-0630 | Windows SMB のリモートでコードが実行される脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-0630
CVE-2019-0633 | Windows SMB のリモートでコードが実行される脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-0633

また、各バージョンの「Windows Server」に組み込まれているDHCPサーバコンポーネントにも、リモートからコードを実行される可能性がある脆弱性(CVE-2019-0626)が存在する。
CVE-2019-0626 | Windows DHCP Server のリモートでコードが実行される脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-0626

Microsoftによれば、脆弱性を持つDHCPサーバに特別に細工されたDHCPパケットを送信することによって、Windows Serverがハイジャックされる可能性がある。Windows Serverは企業ネットワークの重要なITインフラを構成していることが多いため、この脆弱性が悪用されると、甚大な被害が発生しかねない。

さらに同社は、「PrivExchange」として知られている脆弱性(CVE-2019-0686)も修正した。
CVE-2019-0686 | Microsoft Exchange Server の特権の昇格の脆弱性
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-0686

1月末には、すでにPrivExchangeの概念実証コードが公開されている。このコードを利用すれば、「Microsoft Exchange 2013」以降に存在するバグを利用して、ハッキングされた電子メールアドレス1つから、社内のドメインコントローラーの管理者まで特権を昇格させることができる。

Microsoftは今回のパッチ公開以前にも、2月5日にこの脆弱性に関するセキュリティアドバイザリ(ADV190007)を公開し、システム管理者がサーバを攻撃から守るための緩和策を提供している。
ADV190007 | "PrivExchange" の特権の昇格の脆弱性に関するガイダンス
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/ADV190007

このほかに同社は、2月12日に2つ目のセキュリティアドバイザリ(ADV190006)を公開している。このアドバイザリは、Active Directoryサーバのフォレストの信頼を悪用する新たな種類の攻撃を緩和する方法を説明するものだ。
ADV190006 | Guidance to mitigate unconstrained delegation vulnerabilities(英文)
https://portal.msrc.microsoft.com/ja-jp/security-guidance/advisory/ADV190006
What Are Domains and Forests?: Active Directory | Microsoft Docs(英文)
https://docs.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2003/cc759073

この記事は海外CBS Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。
https://www.zdnet.com/article/microsoft-february-patch-tuesday-fixes-77-security-flaws-including-ie-zero-day/

2019年02月13日 11時40分
CNET Japan
https://japan.zdnet.com/article/35132639/

2: 名刺は切らしておりまして 2019/02/13(水) 13:33:32.37 ID:pQUujgaE
>>1
終わらない悪夢、民主党の残党とかいややで

 

3: 名刺は切らしておりまして 2019/02/13(水) 13:35:46.48 ID:UjMlaj3H
人柱はよ

 

4: 名刺は切らしておりまして 2019/02/13(水) 13:43:18.22 ID:LRX+fnUZ
eTax とかIEしか対応してないじゃん、そういうの無料で対応してやれよと

 

5: 名刺は切らしておりまして 2019/02/13(水) 14:24:13.85 ID:XTzZbhDA
モビルスーツのセキュリティか?

 

6: 名刺は切らしておりまして 2019/02/13(水) 20:50:15.65 ID:LbdWypXl

こないだの更新のアレみたいに
『IEはなくなりました』つって消しちゃえばいいんだよ

そうすればみんな対策するだろ、
サイト作る側が

 

7: 名刺は切らしておりまして 2019/02/13(水) 20:51:46.48 ID:o+uyCOGp
>>6
マジで言ってる?

 

8: 名刺は切らしておりまして 2019/02/13(水) 21:54:49.79 ID:tmGC3X7k
業務システムでactiveX使っているやつ
どうするんだろう…

 

11: 名刺は切らしておりまして 2019/02/14(木) 05:32:32.88 ID:PlalR9H/
今回は大丈夫だろうな 先月7の更新でひどい目にあったから

 

12: 名刺は切らしておりまして 2019/02/14(木) 15:39:47.26 ID:qaSCS3p9
必死のパッチ

 

13: 名刺は切らしておりまして 2019/02/15(金) 20:21:34.39 ID:SWaDG5/y
10ヲタしか使わんだろ

引用元

管理人からひと言

絶対にあてないぞ

 

関連記事

  1. 【企業】NTT社長、政府方針注視 ファーウェイ幹部拘束で

  2. カテゴリ_apple

    【IT】iOSのセキュリティに脆弱性、パスコード総当たりでロック解除可能と研究者指摘

  3. カテゴリ_security

    【IT】「パスワード不要時代」へ MSなどが新技術

  4. 【当たり前田のクラッカー】「企業に『バックドア(裏口)』を仕組んだりするよう求める法律は中国にはない…

  5. 【IT】日本、サイバー能力見劣り 主要国で最下位グループ

  6. 【IT】「マリオット」顧客情報流出 2550万人分のパスポート番号も

  7. Javaライブラリ「Log4j」にゼロデイ脆弱性、任意のリモートコードを実行可能 iCloudやSt…

  8. 【IT】ドコモ、ポイント不正利用の原因特定 被害は3.5万件

  9. 【IT】Microsoft社長、サイバー攻撃「脅威情報の共有を」

コメント

  1. この記事へのコメントはありません。

  1. この記事へのトラックバックはありません。

最近の人気記事

おすすめ記事

新着記事

  1. 【プログラミング】Webエンジニアとかいうやつが最高にウザい
  2. Webエンジニアで年収270万スタートから900万まで登り詰めたんだけどさ
  3. 来年からWEBエンジニアになるんだけど副業で小中学生向けのプログラミング家庭教師…
  4. CPUクーラーって絶対に水冷がええの?
  5. AIに食われるの確定してるのに今プログラマーになろうと勉強してる奴なんなの?

ボンブの戯言

  1. 【ボンブの戯言】中古サーバーの買い方まとめました
  2. 【ボンブの戯言】ITエンジニアがフリーランスになるときに考える・準備すること
  3. 【ボンブの戯言】フリーランスが払う税金など6選!私たちはこんなに支払っている!
  4. 【ボンブの戯言】ITエンジニアは、なぜうつ病になるのか
  5. 【ボンブの戯言】サーバーって何なの(オンプレに限る)
PAGE TOP