マイクロソフト、2024年5月のパッチ・チューズデーで3件のゼロデイと61件の欠陥を修正

.crit { font-weight:bold; color:red; } .article_section td { font-size: 14px！important;}。

本日は、マイクロソフトの5月2024日パッチチューズデーであり、61件の欠陥と、3件の積極的に悪用または公表されているゼロデイに対するセキュリティアップデートが含まれている。

今回のパッチチューズデーでは、Microsoft SharePoint Serverのリモートコード実行の脆弱性という重大な脆弱性1件のみが修正されている。

各脆弱性カテゴリにおけるバグの数は以下の通り：

• 特権昇格の脆弱性 17件
• 2 セキュリティ機能バイパスの脆弱性
• 27 リモート・コード実行の脆弱性
• 7 情報漏洩の脆弱性
• 3 サービス拒否の脆弱性
• 4 スプーフィング脆弱性

合計61件の脆弱性には、5月2日に修正されたMicrosoft Edgeの脆弱性2件と5月10日に修正された脆弱性4件は含まれていません。

本日リリースされた非セキュリティ更新プログラムの詳細については、新しいWindows 11 KB5037771 累積更新プログラムおよびWindows 10 KB5037768 更新プログラムに関する専用記事をご覧ください。

3つのゼロデイが修正

今月のパッチ・チューズデーでは、活発に悪用されている2件のゼロデイ脆弱性と、一般に公開されている1件のゼロデイ脆弱性が修正された。

マイクロソフトでは、ゼロデイを、公式な修正プログラムが提供されていない、一般に公開されている、または積極的に悪用されている欠陥と分類しています。

本日のアップデートに含まれる、アクティブに悪用されるゼロデイ脆弱性2件は以下の通り：

CVE-2024-30040– Windows MSHTML プラットフォームのセキュリティ機能バイパスの脆弱性

マイクロソフトは、脆弱な COM/OLE コントロールからユーザーを保護するために Microsoft 365 および Microsoft Office に追加された OLE 緩和機能に対するアクティブに悪用されるバイパスを修正しました。

「攻撃者は、通常、電子メールまたはインスタント・メッセンジャーのメッセージで誘いかける方法で、脆弱なシステムに悪意のあるファイルをロードし、特別に細工されたファイルを操作するようにユーザーを説得する必要がありますが、必ずしも悪意のあるファイルをクリックしたり開いたりする必要はありません」とマイクロソフトは説明しています。

「この脆弱性の悪用に成功した認証されていない攻撃者は、ユーザーに悪意のあるドキュメントを開かせることでコードを実行させることができ、その時点で攻撃者はユーザーのコンテキストで任意のコードを実行することができる」とマイクロソフトは続けた。

この欠陥が攻撃でどのように悪用されたのか、また誰が発見したのかは不明である。

CVE-2024-30051– Windows DWM コアライブラリの特権昇格の脆弱性

マイクロソフトは、積極的に悪用されるWindows DWMコア・ライブラリの欠陥を修正しました。

「この脆弱性の悪用に成功した攻撃者は、SYSTEM 権限を獲得する可能性がある」とマイクロソフトは説明している。

カスペルスキーは、最近のQakbotマルウェアのフィッシング攻撃は、この欠陥を悪用し、Windowsデバイス上でSYSTEM権限を得るために悪意のある文書を使用していたと述べている。

マイクロソフト社によると、この欠陥は以下の研究者によって公表された：KasperskyのMert DegirmenciとBoris Larin、DBAPPSecurity WeBin LabのQuan Jin Guoxian Zhong、Google Threat Analysis GroupのVlad StolyarovとBenoit Sevens、Google MandiantのBryce AbdoとAdam Brunner。

マイクロソフトは、CVE-2024-30051も公開されたとしているが、それがどこで行われたのかは不明である。さらにマイクロソフト社によると、CVE-2024-30046として追跡されているMicrosoft Visual Studioのサービス拒否の欠陥も同様に公開されたとのことです。

他社の最近のアップデート

2024年5月にアップデートやアドバイザリを公開したベンダーは他にもある：

• Adobeは、After Effects、Photoshop、Commerce、InDesignなどのセキュリティアップデートをリリースした。
• Appleは 、RTKitのゼロデイを古いデバイスにバックポートし、Pwn2Ownで悪用されたSafari WebKitのゼロデイ欠陥を修正した。
• Cisco は IP 電話製品のセキュリティアップデートをリリース。
• シトリックスは、Xencenter の管理者に対し、管理者の SSH 秘密鍵を盗むために使用可能な Putty の欠陥を手動で修正するよう促した。
• F5、BIG-IP Next Central Manager APIの2つの重大性の高い欠陥に対するセキュリティアップデートをリリース。
• Google、2024年6番目のゼロデイを修正する緊急アップデートを公開。
• TinyProxyは、Cisco が公開した重大なリモートコード実行の不具合を修正。
• VMwareは、Pwn2Own 2024で悪用された3つのゼロデイバグを修正しました。

残念ながら、SAPのパッチ・チューズデー・セキュリティ・アップデートへのリンクは、顧客ログインの背後に置かれたため、今後は張らない。

2024年5月パッチ・チューズデー・セキュリティ・アップデート

以下は、2024年5月のパッチ・チューズデー・アップデートで解決された脆弱性の完全なリストです。

各脆弱性の完全な説明と影響するシステムにアクセスするには、ここで完全なレポートを見ることができます。