Microsoft May Madness
この5月は、火曜日リリースのパッチが、定例のものとはかなり異なっていました。5月8日にMicrosoftは、合計67件の脆弱性に関するセキュリティパッチをリリースしました。21件の重大な脆弱性、42件の重要度の高い脆弱性、および4件の重要度の低い脆弱性に対処するパッチです。一方、AdobeはAdobe Flash Playerの重要なフローに対処しました。これは、最新の Windows 10バージョン1803のリリース直後にWindowsのセキュリティ保護に関してMicrosoftから行われた大規模プッシュで、いくつかのセキュリティ強化と他の機能更新プログラムが追加されました。
しかし、この更新プログラムが特に重要なのは、悪用されることの多い2つのゼロデイ脆弱性と、パブリックエクスプロイトが公開されている他の2つの脆弱性に対処している点です。
第一の重大な脆弱性はInternet Explorer (IE) Double Kill脆弱性（CVE-2018-8174)で、Tenableによって 2018年4月に報告されました。第二のゼロデイ脆弱性は CVE-2018-8120で、Win32kコンポーネントの特権昇格の脆弱性です。Microsoftはまた 、CVE-2018-8141 Windowsカーネルの情報漏えいの脆弱性）とCVE-2018-8170 （Windowsイメージの特権昇格の脆弱性）にもパッチを適用しました。これら両方のCVEのエクスプロイトを含め、技術的な詳細情報が公開されています。ただし、この投稿執筆時点では、攻撃者による実際の悪用は行われていないと思われます。
重大なAdobe Flash Playerの脆弱性（CVE-2018-4944）用のパッチも、AdobeのPatch Tuesday でリリースされました。
影響の評価
Windows 10を走らせているすべてのユーザーにとって、CVEの1つを除くすべてがかなりのリスクを伴い、緊急のセキュリティ上の懸念が表明されています。軽減処置を講じない場合には、システムが完全に侵害されてしまうおそれがあります。
ゼロデイ脆弱性の1つであるIE Double Killは、現在のIEバージョンと、このブラウザーを使用する他のアプリケーションに影響を及ぼします。もう1つのゼロデイ攻撃であるWin32k特権昇格の脆弱性は、Windows 7とWindows Server 2008のユーザーに影響を与えます。どちらのゼロデイ脆弱性も悪用されると、特権昇格と完全なシステムの侵害を許してしまいます。
脆弱性の詳細
Microsoftの5月のセキュリティリリースには、次のアプリケーションに関するセキュリティ更新プログラムが含まれています:
- Internet Explorer
- Microsoft Edge
- Microsoft Windows
- Microsoft Office、Microsoft Officeサービス、Web Apps
- ChakraCore
- Adobe Flash Player
- .NET Framework
- Microsoft Exchange Server
- Windows Host Compute Service Shim
このセキュリティ更新の最も重大な修正は、Internet ExplorerとMicrosoft Windowsに関するものです。また、この更新にはOffice、Outlook、SharePointで重要と評価されているパッチも含まれています。また、Exchangeの更新プログラムと.NET Frameworkには、重要と評価されている複数のパッチが含まれています。
CVE-2018-8174（「IE Double-kill」とも呼ばれる）は野放しにされ悪用されることの多い脆弱性です。この脆弱性に関するその他の詳細情報はこちらから確認できます。これはとても危険性の高い脆弱性です。単にブラウザーを対象とするだけではなく、OfficeドキュメントのActiveXコントロールや埋め込みスクリプトにも影響を及ぼすためです。パッチが適用されるまでは、攻撃者は、IEがデフォルトブラウザーではない場合であっても、強制的にInternet Explorerが読み込みを行うようにできます。
CVE-2018-8120は、実世界で広く悪用されているWin32kコンポーネント内の特権昇格の脆弱性で、深刻度「重要」と評価されています。これは、Windows 7、Windows Server 2008、およびWindows Server 2008 R2にのみ影響します。
緊急措置が必要
これらの脆弱性に関するパブリックエクスプロイトの可用性と現在広く悪用されている点を考慮に入れると、保護のためこのセキュリティ更新プログラムを緊急にインストールすることをお勧めします。
Tenableでは、CVE-2018-8174、CVE-2018-8120、CVE-2018-8141、CVE-2018-8170の脆弱性を検出するため次の Nessusプラグイン を用意しています。
|
プラグインID |
説明 |
|
109604 |
KB4103712:Windows 7 and Windows Server 2008 R2 2018 年5月のセキュリティ更新プログラム |
|
109610 |
|
|
109607 |
KB4103715:Windows 8.1 and Windows Server 2012 R2 2018 年5月のセキュリティ更新プログラム |
|
109606 |
KB4103723:Windows 10 Version 1607 および Windows Server 2016 2018 年5月のセキュリティ更新プログラム |
|
109608 |
|
|
109611 |
|
|
109605 |
|
|
109603 |
詳細はこちら：
- MicrosoftセキュリティTechCenter
- Adobeセキュリティ情報
- 最新のアタックサーフェスを総合的に管理する初のサイバーエクスポージャープラットフォームである Tenable.io®の詳細情報
- 今すぐTenable.io Vulnerability Managementの60日間無料トライアルをお試しください！
Josef Weiss
Josef Weiss is a Senior Software Engineer at Tenable, and expertly tracks vulnerabilities, threats, and cybersecurity risks and manages processes & dependencies around detecting such events. Josef is also responsible for identifying new or potentially new threats (for example vulnerabilities or malware) and monitoring levels of threat activity. The typical day includes researching and documenting vulnerabilities and cyber-attacks, including techniques being used by responsible parties. This cyber intelligence is used to ensure that Tenable Research reacts appropriately to any new or existing threats. Prior to joining Tenable, Josef’s experience spanned over 19 years in information security. He has worked as a security engineer and architect for the Big 4, several major universities, large healthcare organizations and the telecommunications industry. Josef, who holds many certifications, is a Certified Information Systems Security Professional (CISSP), and a Python programmer.関連記事
How To Harden GitLab Permissions with Tenable
If your organization uses GitLab for managing your software development lifecycle, you must ensure you’re not misconfiguring the permissions of this open source DevSecOps platform. Doing so can expose your source code, along with sensitive data, while creating security risks. In this blog, we’ll exp...
Do You Think You Have No AI Exposures? Think Again
As AI usage becomes more prevalent in organizations globally, security teams must get full visibility into these applications. Building a comprehensive inventory of AI applications in your environment is a first step. Read on to learn what we found about AI application-usage in the real world when w...
Never Trust User Inputs -- And AI Isn't an Exception: A Security-First Approach
As AI transforms industries, security remains critical. Discover the importance of a security-first approach in AI development, the risks of open-source tools, and how Tenable's solutions can help protect your systems....
- Plugins