Microsoft Visual Studio 製品のセキュリティ更新 (2023 年 6 月)

high Nessus プラグイン ID 177249

Language:

概要

Microsoft Visual Studio 製品は、複数の脆弱性の影響を受けます。

説明

Microsoft Visual Studio 製品にセキュリティ更新プログラムがありません。そのため、以下の複数の脆弱性の影響を受けます。

- MSDIA SDK でのリモートコード実行の脆弱性により、破損した PDB がヒープオーバーフローを引き起こし、クラッシュやリモートコード実行の可能性があります。(CVE-2023-24897)

- git apply -reject への特別に細工された入力により、任意の場所でコンテンツの制御された書き込みが引き起こされる可能性がある、リモートコード実行の脆弱性が存在します。(CVE-2023-25652)

- Github ローカライゼーションメッセージが、ランタイムのプレフィックスを尊重せずにハードコードされたパスを参照するため、領域外メモリの書き込みやクラッシュが発生する可能性のあるスプーフィングの脆弱性が存在します。(CVE-2023-25815)

- バージョン 2020 以前の Autodesk FBX SDK の領域外書き込みの脆弱性により、悪意を持って細工された FBX ファイルを通じてコードが実行されたり、情報漏洩が発生したりする可能性があります。(CVE-2023-27909)

- 情報漏洩の脆弱性により、ユーザーが騙されて、悪意のある FBX ファイルを開く可能性があります。これは、Autodesk FBX SDK 2020 以前のスタックバッファオーバーフロー (CVE-2023-27910)、またはヒープバッファオーバーフロー (CVE-2023-27911) の脆弱性を悪用し、リモートコード実行を引き起こす可能性があります。

- 論理エラーを含む設定ファイルにより、任意の設定がインジェクションされるリモートコード実行の脆弱性があります。(CVE-2023-29007)

- リモートコード実行の脆弱性により、SOCKS5 プロキシの実装を担当する Git for Windows の実行可能ファイルが、マルチユーザーマシンで信頼できない設定を取得する可能性があります。(CVE-2023-29011)

- リモートコード実行の脆弱性により、Git for Windows Git CMD プログラムが、起動時にプログラムを不適切に検索し、任意のコードのサイレント実行を引き起こす可能性があります。(CVE-2023-29012)

- ツールの復元中の .NET SDK におけるリモートコード実行の脆弱性により、権限昇格が引き起こされる可能性があります。(CVE-2023-33135)

- Visual Studio の obj ファイルパーサーによる情報漏洩の脆弱性があります。(CVE-2023-33139)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ソリューション

Microsoft はこの問題を解決するために、以下のセキュリティ更新プログラムをリリースしています。
- Visual Studio 2013 用 Update 5 のパッチ
- Visual Studio 2015 用 Update 3 のパッチ
- Visual Studio 2017 用の更新プログラム 15.9.55
- Visual Studio 2019 用の更新プログラム 16.11.27
- Visual Studio 2022 用の更新プログラム 17.0.22
- Visual Studio 2022 用の更新プログラム 17.2.16
- Visual Studio 2022 用の更新プログラム 17.4.8
- Visual Studio 2022 用の更新プログラム 17.6.3