マイクロソフト、2024年7月のパッチ・チューズデーで142件の欠陥、4件のゼロデイを修正

.crit { font-weight:bold; color:red; } .article_section td { font-size: 14px！important;}。

本日は、マイクロソフトの7月2024日パッチチューズデーであり、142件の欠陥に対するセキュリティアップデートが含まれている。

今回のパッチ・チューズデーでは、5件の重大な脆弱性が修正され、そのすべてがリモート・コード実行の不具合である。

各脆弱性カテゴリーにおけるバグ数は以下の通り：

• 26件の特権昇格の脆弱性
• 24 セキュリティ機能バイパス脆弱性
• 59 リモート・コード実行の脆弱性
• 9 情報漏えいの脆弱性
• 17 サービス拒否の脆弱性
• 7 スプーフィング脆弱性

本日リリースされた非セキュリティ更新プログラムの詳細については、新しいWindows 11 KB5040442 更新プログラム およびWindows 10 KB5040427 更新プログラムに関する専用記事をご覧ください。

4件のゼロデイを修正

今月のパッチ・チューズデーでは、活発に悪用されている2件のゼロデイ脆弱性と、その他一般に公開されている2件のゼロデイ脆弱性が修正された。

マイクロソフトでは、ゼロデイ脆弱性を、公式な修正プログラムが提供されていないにもかかわらず、一般に公開されているもの、または積極的に悪用されているものと分類している。

本日のアップデートに含まれる、アクティブに悪用される2つのゼロデイ脆弱性は以下の通り：

CVE-2024-38080– Windows Hyper-V における特権昇格の脆弱性

マイクロソフトは、攻撃者に SYSTEM 権限を与える Hyper-V の特権昇格の脆弱性を修正しました。

「この脆弱性の悪用に成功した攻撃者は、SYSTEM 権限を得る可能性がある」とマイクロソフトは説明している。

マイクロソフトは、この脆弱性が積極的に悪用されているとしているが、誰がこの脆弱性を発見したのかなど、脆弱性に関する詳細は明らかにしていない。

CVE-2024-38112– Windows MSHTML プラットフォームのスプーフィング脆弱性

マイクロソフトは、アクティブに悪用される Windows MSHTML スプーフィングの脆弱性を修正しました。

「この脆弱性の悪用を成功させるには、攻撃者が悪用の前にターゲット環境を準備するための追加アクションを取る必要がある」とマイクロソフトは説明している。

「攻撃者は、被害者が実行しなければならない悪意のあるファイルを被害者に送信する必要があります」とマイクロソフトは続けた。

マイクロソフト社は、この脆弱性がどのように悪用されたのかについて、これ以上の詳細は明らかにしていない。

この欠陥は、チェック・ポイント・リサーチ社のHaifei Li氏が公表した。

公表されている脆弱性は2つある：

CVE-2024-35264– .NET および Visual Studio のリモート・コード実行の脆弱性

マイクロソフトは、公開された .NET および Visual Studio の RCE を修正した。

「攻撃者は、リクエスト本体が処理されている間に http/3 ストリームを閉じることで、レースコンディションを引き起こす可能性があります。この結果、リモートでコードが実行される可能性があります。

マイクロソフト社は、この問題がどこで公開されたかを共有しておらず、マイクロソフト社のRadek Zikmund氏によって内部的に発見されたとしている。

CVE-2024-37985– アーム：CVE-2024-37985 プロプライエタリ・プリフェッチャーの体系的な特定と特徴づけ

マイクロソフト社は、以前に公開された“FetchBench” サイドチャネル攻撃を修正しました。

「この脆弱性の悪用に成功した攻撃者は、サーバー上で実行されている特権プロセスからヒープメモリを見ることができる」とマイクロソフトは説明している。

「この脆弱性の悪用に成功した場合、攻撃者は悪用に先立ち、ターゲット環境を準備するための追加アクションを取る必要があります」とマイクロソフトは続けている。

他社の最近のアップデート

2024年7月にアップデートやアドバイザリをリリースした他のベンダーは以下の通り：

• Adobeは、Premiere Pro、InDesign、Bridgeのセキュリティアップデートを公開した。
• シスコは 、攻撃に悪用された NX-OS ソフトウェア CLI コマンドインジェクションの脆弱性を公開した。
• シトリックス、Windows Virtual Delivery AgentとCitrix Workspace アプリの欠陥を修正。
• 2024年5月に修正されたGhostScriptRCEの欠陥が攻撃で悪用される。
• フォーティネット、FortiOS などの複数の脆弱性を修正。
• Mozilla、複数の脆弱性を修正したFirefox 128をリリース。
• OpenSSHが新たな regreSSHion RCE の脆弱性を修正。昨日、CVE-2024-6409として追跡されていた同様の脆弱性の2つ目も公開された。
• VMwareはCloud DirectorのHTMLインジェクションの脆弱性を修正。

2024年7月パッチ・チューズデー・セキュリティ・アップデート

以下は、7月2024日のパッチ・チューズデー・アップデートで解決された脆弱性の完全なリストである。

各脆弱性の完全な説明と影響するシステムにアクセスするには、こちらのレポートをご覧ください。