マイクロソフトは、火曜日にパッチを適用する可能性のある重要なインターネットエクスプローラーのバグを修正します

マイクロソフトは、5月のパッチ火曜日リリースの一環として、Internet Explorer、Officeアプリケーション、Windows、.NETフレームワーク、およびLyncの10のセキュリティ情報全体で33の脆弱性を修正しました。

マイクロソフトはパッチ火曜日の通知アドバイザリーで、10件のうち、「重大」と評価されている重大度が最高のセキュリティ情報は2つだけだとMicrosoftは述べています。 残りのパッチは「重要」と評価されています。これは通常、攻撃者がユーザーの参加なしにこの脆弱性を悪用できないことを意味します。

「33の脆弱性をカバーする10個のパッチは多数のように見えますが、それはITにとって悪いニュースではありません」とLumensionのセキュリティおよび法医学アナリスト、ポール・ヘンリーは述べています。

Internet Explorerの修正

両方の重要なパッチはInternet Explorer用です。 今月の火曜日のパッチの大きな問題は、MicrosoftがInternet Explorer 8で最近報告されたゼロデイを修正するかどうかでした。Microsoftは先週、一時的な回避策をリリースし、今日フルパッチ（MS13-038）をリリースしました。

「マイクロソフトが積極的に悪用されているので、Microsoftがこれに迅速に対処したことを見るのは安心です」とヘンリーは言いました。

もう1つのIEパッチ（MS13-037）は、IEバージョン6、7、8、9、および10の累積的な更新プログラムであり、3つのPwn2Ownコンテストで報告された脆弱性を含む11の異なる脆弱性を閉じます。

「あるレベルでは、これはセキュリティが最高のマイクロソフトです」と、Rapid7のセキュリティエンジニアリングのシニアマネージャー、ロスバレットは SecurityWatch に語りました。 同社は速やかに対応し、問題に関する公開勧告を発行し、一時的な回避策を押し出した後、予定されていた更新の一部としてすべてを11日以内に解決しました。

一方、Microsoftが重要なInternet Explorerパッチを毎月リリースしているという事実は、Microsoftがパッチや古いソフトウェアを処理する方法の何が問題なのかを強調している、とBarrettは述べた。 対照的に、GoogleのChromeブラウザは修正プログラムが利用可能になると自動的に更新され、心配する必要のあるブラウザの「古いバージョン」はありません。 バレット氏によると、Microsoftは古いバージョンを維持し、ユーザーをリスクにさらすためにリソースを拘束しているという。

その他の注意事項

他の注目すべきセキュリティ情報は、Windows（MS13-039）のHTTPクライアントとサーバーに影響するサービス拒否の状態に対処しています。 この問題は新しいバージョンのWindows、特にWindows Server 2012にのみ適用されます。多くのリモートサービスとActive Directoryの統合はhttp.sysに依存しているため、この脆弱性を悪用する攻撃は「潜在的に非常に破壊的」です。

「エクスプロイトは非常に迅速に開発される可能性が高いため、すべてのITセキュリティチームはこれにすばやくジャンプする必要があります。エクスプロイトが成功すると、影響を受けるサーバーでDoSが一時的な停止を引き起こす可能性があります」

マイクロソフトは、Microsoft Lyncのリモートコード実行のバグ（以前のCommunicator）（MS13-041）、Publisherの11のメモリ破損問題（MS13-042）、Microsoft WordおよびExcelのバグ（MS13- 042）。 Lyncセッションの2人のユーザーが悪意のあるコンテンツを共有している場合にのみ、Lyncの脆弱性が悪用される可能性があります。 「うまくいけば、システムを攻撃しようとしている人とLyncの会話をするユーザーはいません。その場合、大丈夫です」とヘンリーは言いました。

.NET（MS13-040）のスプーフィングの脆弱性と認証バイパスは、デフォルトの構成に影響しません。 別のセキュリティ情報は、Windows Essentials 2012（MS13-045）の情報漏えいの脆弱性を解決しました。 Microsoftは、Windowsカーネルモードドライバー（MS13-046）の3つのローカル権限昇格の欠陥も修正しました。 最も深刻なバグはWindows XPに影響し、攻撃者が昇格したコンテキストでプロセスを実行できるようにします。

BeyondTrustのCTOであるMarc Maiffret氏は、次のように述べています。「インターネットに接続されたWebサーバー上のMS13-039とともに、できるだけ早くInternet Explorer（MS13-037およびMS13-038）にパッチを適用してください。