マイクロソフト、月例セキュリティ更新(8月) - 「緊急」4件、「重要」10件の脆弱性

日本マイクロソフトは12日、毎月定例で提供している月例のセキュリティ更新プログラム(月例パッチ)の8月分を公開した。14件の脆弱性情報が公開され、深刻度がもっとも高い「緊急」が4件、2番目に高い「重要」が10件となっている。すでに悪用が確認されている脆弱性もあり、対象となるユーザーは早急のアップデートが推奨されている。

なお、同社では7月21日に定例外の緊急パッチとして「MS15-078 Microsoft フォント ドライバーの脆弱性により、リモートでコードが実行される (3079904)」を公開しており、こちらの適用も早急に行うことが推奨されている。

○Internet Explorer 用の累積的なセキュリティ更新プログラム (3082442)(MS15-079)

MS15-079は、Internet Explorerに複数の脆弱性が存在し、最悪の場合、特別に細工されたWebページを表示するだけでリモートでコードが実行される、というもの。

IEの複数のメモリ破損の脆弱性、特権の昇格といった複数の脆弱性があり、このうち情報漏えいの脆弱性はIEのコマンドラインパラメーターからExcel、メモ帳、PowerPoint、Visio、Wordを実行することで攻撃が行われる。あらかじめ別のリモートでコードが実行される脆弱性を悪用することで攻撃が行われるため、あわせて複数の脆弱性をパッチを適用する必要がある。すでにインターネット上で脆弱性情報が公開されていたが、悪用は確認されていないという。

対象となるのはInternet Explorer 7/8/9/10/11で、最大深刻度は「緊急」、悪用可能性指標は「1」などとなっている。

○Microsoft Graphics コンポーネントの脆弱性により、リモートでコードが実行される (3078662)(MS15-080)

MS15-080は、Windowsや.NET Framework、Office、Lync、Silverlightのフォント解析など複数の脆弱性が存在し、最悪の場合、リモートでコードが実行されるというもの。Windows Adobe Type ManagerライブラリのOpenTypeフォントの処理や、OfficeなどのTrueTypeフォントの処理に脆弱性が存在。Officeグラフィックライブラリ(OGL)フォントの処理にも脆弱性が存在する。

さらに、Windowsのセキュリティ機能であるカーネルASLRがバイパスされる脆弱性なども存在し、仮にこれらの組み合わせられた場合、セキュリティ機能をバイパスした上でリモートでコードが実行されてしまう危険性がある。この脆弱性の情報はすでにインターネット上に公開されていたという。

対象となるのは、Windows Vista/7/8/8.1/10/RT/RT 8.1、Server 2008/2008 R2/2012/2012 R2、.NET Framework 3.0/3.5/3.5.1/4/4.5/4.6、Office 2007/2010、Live Meeting 2007 Console、Lync 2010/2010 Attendee/2013/Basic 2013、Windows/MacにインストールされているSilverlight 5。最大深刻度は「緊急」、悪用可能性指標は「1」などとなっている。

○Microsoft Office の脆弱性により、リモートでコードが実行される (3080790)(MS15-081)

MS15-081は、Officeに複数のメモリ破損の脆弱性が存在。最悪の場合、リモートでコードが実行される危険性があるというもの。前述の「MS15-079」で悪用される脆弱性も含まれており、同時にアップデートすることが推奨されている。

そのほか、テンプレート処理における脆弱性、整数のアンダーフロー脆弱性、情報漏えいの脆弱性が存在しており、それらの脆弱性をまとめて解消する。メモリ破損の脆弱性に関してはすでに悪用が確認されており、情報漏えいの脆弱性はインターネット上で情報が公開されていたという。

対象となるのは、Office 2007/2010/2013/2013 RT、Office for Mac 2011/2016、Office互換機能パック、Word Viewer、SharePoint Server 2010/2013、Office Web Apps 2010/2013。最大深刻度は「緊急」、悪用可能性指標は「1」などとなっている。

○Microsoft Edge 用の累積的なセキュリティ更新プログラム (3084525)(MS15-091)(MS15-091)
MS15-091は、Windows 10の新ブラウザであるEdgeに複数の脆弱性が存在。メモリ破損によるリモートでコードが実行される脆弱性とセキュリティ機能ASLRのバイパスの脆弱性が存在する。

対象となるのはWindows 10のEdgeで、最大深刻度は「緊急」、悪用可能性指標は「1」などとなっている。

○その他の脆弱性

これに加え、緊急度「重要」の脆弱性が10件公開されている。

・RDP の脆弱性により、リモートでコードが実行される (3080348)(MS15-082)

・サーバー メッセージ ブロックの脆弱性により、リモートでコードが実行される (3073921)(MS15-083)

・XML コア サービスの脆弱性により、情報漏えいが起こる (3080129)(MS15-084)

・マウント マネージャーの脆弱性により、特権が昇格される (3082487)(MS15-085)

・System Center Operations Manager の脆弱性により、特権が昇格される (3075158)(MS15-086)

・UDDI サービスの脆弱性により、特権が昇格される (3082459)(MS15-087)

・安全ではないコマンド ライン パラメーターの受け渡しにより、情報漏えいが起こる (3082458)(MS15-088)

・WebDAV の脆弱性により、情報漏えいが起こる (3076949)(MS15-089)

・Microsoft Windows の脆弱性により、特権が昇格される (3060716)(MS15-090)

・.NET Framework の脆弱性により、特権が昇格される (3086251)(MS15-092)