マイクロソフト、2024年9月のパッチ・チューズデーで4件のゼロデイと79件の欠陥を修正

.crit { font-weight:bold; color:red; } .article_section td { font-size: 14px！important;}。

本日は、マイクロソフトの9月2024日パッチ・チューズデーであり、積極的に悪用されている4件の脆弱性と公表されている1件のゼロデイを含む79件の脆弱性に対するセキュリティ更新が含まれている。

今回のパッチ・チューズデーでは、リモートでコードが実行されたり、特権が昇格されたりする7件の重大な脆弱性が修正された。

各脆弱性カテゴリーにおけるバグの数は以下の通り：

• 特権昇格の脆弱性 30件
• 4 セキュリティ機能迂回の脆弱性
• 23 リモート・コード実行の脆弱性
• 11 情報開示の脆弱性
• 8 サービス拒否の脆弱性
• 3 スプーフィング脆弱性

本日リリースされた非セキュリティ更新プログラムの詳細については、新しいWindows 11 KB5043076 累積更新 プログラムおよびWindows 10 KB5043064 更新プログラムに関する専用記事をご覧ください。

4件のゼロデイが公開

今月のパッチ・チューズデーでは、悪用が活発な4件のゼロデイが修正され、そのうちの1件が公開された。

マイクロソフトでは、ゼロデイ欠陥とは、公式な修正プログラムが提供されていないにもかかわらず、一般に公開されている、または積極的に悪用されている欠陥と分類しています。

本日のアップデートに含まれる、積極的に悪用される4つのゼロデイ脆弱性は以下の通り：

CVE-2024-38014– Windows インストーラの特権昇格の脆弱性

この脆弱性は、Windows システム上で SYSTEM 権限を獲得する攻撃を可能にします。

マイクロソフトは、この脆弱性が攻撃でどのように悪用されたかについての詳細は明らかにしていません。

この脆弱性は、SEC Consult Vulnerability Lab の Michael Baer 氏によって発見されました。

CVE-2024-38217– Windows Mark of the Web セキュリティ機能バイパスの脆弱性

この欠陥は、Elastic SecurityのJoe Desimone氏によって先月公開され、2018年以降活発に悪用されていると考えられている。

このレポートの中でDesimone氏は、非標準のターゲットパスや内部構造を持つ特別に細工されたLNKファイルを、Smart App ControlとMark of the Webセキュリティ警告をバイパスしながらファイルを開かせる、LNK stompingと呼ばれるテクニックを概説している。

「攻撃者は、Mark of the Web（MOTW）防御を回避する悪意のあるファイルを作成することができ、その結果、SmartScreen Application ReputationセキュリティチェックやレガシーWindows Attachment Servicesセキュリティプロンプトなどのセキュリティ機能の整合性や可用性が限定的に失われる」とマイクロソフト社のアドバイザリは説明している。

悪用されると、このビデオで示されているように、LNKファイル内のコマンドが警告なしに実行される。

CVE-2024-38226– マイクロソフトパブリッシャーのセキュリティ機能バイパスの脆弱性

マイクロソフトは、ダウンロードされたドキュメントに埋め込まれたマクロに対するセキュリティ保護をバイパスする Microsoft Publisher の欠陥を修正しました。

「この脆弱性の悪用に成功した攻撃者は、信頼できないファイルや悪意のあるファイルをブロックするために使用されるOfficeマクロポリシーをバイパスする可能性があります。

マイクロソフト社は、誰がこの欠陥を公表し、どのように悪用されたかは明らかにしていない。

CVE-2024-43491– Microsoft Windows Update のリモートコード実行の脆弱性

マイクロソフトは、リモート・コード実行を可能にするサービシング・スタックの欠陥を修正した。

“マイクロソフトは、Windows 10のバージョン1507（2015年7月にリリースされた初期バージョン）のオプションコンポーネントに影響するいくつかの脆弱性の修正をロールバックしたサービシングスタックの脆弱性を認識している。”とマイクロソフトのアドバイザリは説明している。

“これは、2024年3月12日にリリースされたWindowsセキュリティ更新プログラムKB5035858（OSビルド10240.20526）または2024年8月までリリースされたその他の更新プログラムをインストールしたWindows 10、バージョン1507（Windows 10 Enterprise 2015 LTSBおよびWindows 10 IoT Enterprise 2015 LTSB）システム上で、攻撃者がこれらの以前に緩和された脆弱性を悪用できることを意味します。それ以降のバージョンのWindows 10はすべて、この脆弱性の影響を受けません。”

“このサービシングスタックの脆弱性は、2024年9月のサービシングスタックの更新プログラム(SSU KB5043936)と2024年9月のWindowsセキュリティ更新プログラム(KB5043083)を順にインストールすることで対処されます。”

この欠陥は、2017年に寿命を迎えたWindows 10、バージョン1507にのみ影響する。しかし、Windows 10 Enterprise 2015 LTSB版とWindows 10 IoT Enterprise 2015 LTSB版にも影響があり、これらはまだサポート中である。

この欠陥が興味深いのは、Active Directory Lightweight Directory Services、XPS Viewer、Internet Explorer 11、LPD Print Service、IIS、Windows Media PlayerなどのOptional Componentsを元のRTMバージョンにロールバックさせるからである。

これにより、以前のCVEがプログラムに再導入され、悪用される可能性があった。

この欠陥の詳細と、影響を受けるコンポーネントの完全なリストは、マイクロソフト社のアドバイザリに掲載されている。

マイクロソフト社は、誰がこの欠陥を公表したのか、またどのように悪用されたのかは明らかにしていない。

他社の最近のアップデート

2024年9月にアップデートまたはアドバイザリをリリースした他のベンダーは以下の通り：

• Apache は 、以前に修正された欠陥のバイパスとなる、OFBiz のリモート・コード実行の重大な脆弱性を修正した。
• Cisco は今月、Smart Licensing Utility のバックドア管理者アカウントやISE のコマンドインジェクションの脆弱性など、複数の脆弱性を修正した。
• Eucleak攻撃は、YubiKey FIDOデバイスをクローンするためにECDSA秘密鍵を抽出する。
• フォーティネットは、Fortisandbox および FortiAnalyzer & FortiManager の欠陥に対するセキュリティアップデートをリリース。
• グーグル、Pixel の特権昇格の脆弱性を悪用した修正を他の Android 端末にバックポート。
• Ivanti 、パブリックエクスプロイトを使用した重大なvTM認証バイパスに関するセキュリティアップデートをリリース。
• WordPress用LiteSpeed Cacheプラグインが認証されていないアカウント乗っ取りの問題を修正。
• SonicWall、先月修正されたアクセス制御の欠陥がランサムウェア攻撃に悪用される。
• Veeam 、Backup & Replicationソフトウェアにおける重大なRCE脆弱性を修正
• Zyxel、同社のルーターにOSコマンドインジェクションの重大な欠陥があることを警告。

2024年9月パッチ・チューズデー・セキュリティ・アップデート

以下は、9月2024日のパッチ・チューズデー・アップデートで解決された脆弱性の全リストです。

各脆弱性の完全な説明と影響するシステムにアクセスするには、ここで完全なレポートを見ることができます。