ビデオ: Windows 10 May 2020 Update - Official Release Demo (Version 2004) (十一月 2024)
マイクロソフトは、5月のパッチ火曜日更新の一環として、Internet Explorer、Windows、およびOfficeの13の脆弱性に対処する8つのセキュリティ情報をリリースしました。 Microsoftによると、そのうち3つは既に悪用されています。
MicrosoftはXPユーザー向けのパッチをリリースしていませんが、専門家は問題が古いオペレーティングシステムにも影響すると考えています。 Microsoftは先月Windows XPのサポートを終了しました。つまり、ユーザーは古いオペレーティングシステムのセキュリティパッチを受け取らなくなりました。 延長サポート契約を求めた企業は、引き続きアップデートを受け取ります。
IEの修正、攻撃を受けている
Internet Explorerの更新プログラム（MS14-029）は、今月の最優先パッチです。 これは累積パッチではないため、他のIEパッチとは異なります。これは、ユーザーがこのパッチをインストールする前に先月の累積IEアップデート（MS14-018）をインストールする必要があることを意味します。今月のセキュリティ情報には、今月のアウトオブバンド修正が含まれています。ゼロデイ脆弱性（CVE-2014-1776）を修正しました。 このセキュリティ情報は、リモートでコードが実行される可能性がある2つのメモリ破損の脆弱性（CVE-2014-1815）も修正しました。 マイクロソフトは、IEのバグの1つを悪用しようとする「限定的な攻撃」があったと述べました。
「先月のIE累積更新プログラムをまだ適用していない場合は、MS14-018およびMS14-029を適用することを確認することが重要です」と、Tripwireのセキュリティ調査マネージャーであるTyler Reguly氏は述べています。
野生の攻撃
マイクロソフトは、グループポリシー設定（MS14-025）のエスカレーション特権の欠陥を修正し、このバグを狙った攻撃が既に存在していると述べました。 Active Directoryがグループポリシーの基本設定を使用して構成されたパスワードを配布する方法に問題があるため、攻撃者は難読化されたドメインアカウントの資格情報を取得し、特権プロセスを実行する可能性があります。
ASLRバイパス（MS14-024）に対処するセキュリティ情報には、実際には「重要」ではなく「重要」な評価が付けられていますが、優先度が高いと見なされる必要があります。 この問題は、それ自体は実際にはエクスプロイトではありませんが、他のエクスプロイトと組み合わせて使用できる弱点であるとバレット氏は言いました。 このバイパスは、他の攻撃と組み合わせて使用中に検出されました。 攻撃者は、Windowsの特権の昇格の脆弱性を悪用して、標的型攻撃でローカルシステムアカウント（MS14-027）にアクセスします。
QualysのCTOであるWolfgang Kandek氏は次のように述べています。「両方の修正を強くお勧めします。これにより、セットアップの堅牢性が大幅に向上します。
ホームオフィスユーザーのアラート
Officeパッチ（MS14-023）はTripwireのTyler Regulyにとって「非常に興味深い」ものでした。TylerRegulyは、自宅でMicrosoft OneDriveとOffice365 Homeを使用し、リモートコード実行の欠陥がOneDriveでのトークンの受け渡し方法に影響を与えると指摘しました。 「すべてのコンピューターに更新プログラムを展開できるようになるまで、これらのサービスの家族の使用状況を監視するために、非常に警戒する必要があります」とReguly氏は言います。
DLLのプリロードの脆弱性は「公開されており、信頼性が高く、使いやすいツールで悪用されやすい」ため、BeyondTrustの研究者はこのパッチに優先順位を付けることを推奨しました。
寒いXPユーザー
Microsoftは先月、Windows XPとともにOffice 2003とSharePoint 2003のサポートを終了しました。 5月パッチYuesdayリリースで対処された脆弱性の大部分は、「おそらく」Windows XPとOffice 2003に影響を及ぼします、とWindows Server 2003に影響を与える脆弱性はXPに影響を与える可能性があるとKandekは考えています。 これは、Internet Explorer、ALSR、グループプロファイル、およびSharePointのパッチで対処された欠陥がXPまたはOffice 2003に存在することを意味します。
Microsoft Officeで修正された重要ではない脆弱性の少なくとも1つがOffice 2003に存在する可能性があります。今月の更新では、SharePoint Serverバージョン2007、2010、2013、Office Web Apps、SharePoint Designer、SharePoint Server 2013 Client Components SDKの3つの重要な脆弱性を修正しました。 Microsoftは、アウトオブバンドアップデートでXP用Internet Explorerを修正しましたが、今月のパッチリリースにはXPが含まれていませんでした。 現在攻撃を受けているIEの欠陥は、ほぼ確実にWindows XPに影響します。
「これまでに間違ったスタートがありましたが、今回マイクロソフトはWindowsのセキュリティ脆弱性について、XPにパッチを適用するので はなく 、実際に世界に語ります」とセキュリティ専門家Graham CluelyがLumensionブログで書いています。 攻撃者は定期的にパッチをリバースエンジニアリングして脆弱性を見つけ、XPに同じ問題が存在するかどうかを確認しようとします。 パッチのリリースにより、時計は刻々と過ぎています。
「Windows XPをまだ実行している場合、オペレーティングシステムからより早く、より安全な機会に切り替える計画を進めることを意味します」とCluley氏は言います。 「実行しているWindowsのバージョンに関係なく、正しいことをしてください。」
