マイクロソフト、2024年11月のパッチ・チューズデーで4件のゼロデイと91件の欠陥を修正

.crit { font-weight:bold; color:red; } .article_section td { font-size: 14px！important;}。

本日はマイクロソフトの11月2024日パッチチューズデーであり、4件のゼロデイを含む91件の欠陥に対するセキュリティアップデートが含まれている。

今回のパッチ・チューズデーでは、4件の重大な脆弱性が修正されており、その中にはリモートでコードが実行される脆弱性2件と、特権が昇格される脆弱性2件が含まれている。

各脆弱性カテゴリーにおけるバグの数は以下の通り：

• 26 権限昇格の脆弱性
• 2 セキュリティ機能バイパスの脆弱性
• 52 リモート・コード実行の脆弱性
• 1 情報漏えいの脆弱性
• 4 サービス拒否の脆弱性
• 3 スプーフィングの脆弱性

この件数には、11月7日に修正された2件のEdgeの不具合は含まれていません。

本日リリースされたセキュリティ更新プログラム以外の更新プログラムについては、Windows 11のKB5046617およびKB5046633の累積更新プログラム、およびWindows 10のKB5046613の更新プログラムについての記事をご覧ください。

4件のゼロデイが公開

今月のパッチ・チューズデーでは、4件のゼロデイが修正され、そのうち2件は攻撃で積極的に悪用され、3件は公開されました。

マイクロソフトでは、ゼロデイ欠陥とは、公式な修正プログラムが提供されていないにもかかわらず、一般に公開されているもの、または積極的に悪用されているものと分類している。

本日の更新プログラムのうち、積極的に悪用されたゼロデイ脆弱性は以下の2件である：

CVE-2024-43451– NTLM ハッシュ開示なりすましの脆弱性

マイクロソフトは、悪意のあるファイルとの最小限のやりとりだけで、リモート攻撃者に NTLM ハッシュを公開する脆弱性を修正しました。

「この脆弱性は、ユーザの NTLMv2 ハッシュを攻撃者に公開するもので、攻撃者はこれを利用してユーザとして認証することができます。

「この脆弱性は、悪意のあるファイルを選択（シングルクリック）したり、検査（右クリック）したり、開いたり実行したりする以外のアクションを実行したりといった、ユーザによる悪意のあるファイルとの最小限のインタラクションによって誘発される可能性があります」とマイクロソフトは続けた。

マイクロソフト社は、ClearSky Cyber Security社のIsrael Yeshurun氏がこの脆弱性を発見し、公表されたとしているが、それ以上の詳細は明らかにしていない。

CVE-2024-49039– Windows タスクスケジューラの特権昇格の脆弱性

特別に細工されたアプリケーションを実行することで、特権を中程度の完全性レベルまで昇格させられる可能性があります。

「この場合、低権限のAppContainer から攻撃が成功する可能性があります。攻撃者は特権を昇格させ、AppContainerの実行環境よりも高い整合性レベルでコードを実行したり、リソースにアクセスしたりする可能性がある」とマイクロソフトは説明している。

マイクロソフト社によると、この脆弱性を悪用すると、攻撃者は通常特権アカウントに制限されているRPC機能を実行できるようになるという。

この欠陥は、Googleの脅威分析グループのVlad Stolyarov氏とBahare Sabouri氏によって発見された。

この欠陥が攻撃でどのように悪用されたかは不明である。

公表されているが攻撃には利用されていない他の3つの脆弱性は以下の通り：

CVE-2024-49040– Microsoft Exchange Server スプーフィング脆弱性

マイクロソフトは、脅威行為者がローカルの受信者に送信する電子メールで送信者の電子メールアドレスを詐称できる Microsoft Exchange の脆弱性を修正した。

「Microsoftは、攻撃者がMicrosoft Exchange Serverに対してなりすまし攻撃を実行できる脆弱性(CVE-2024-49040)を認識しています。

「この脆弱性は、現在のP2 FROMヘッダー検証の実装に起因しています。

今月のマイクロソフト・エクスチェンジ・セキュリティ・アップデートから、マイクロソフトはなりすましメールを検出し、メール本文に「通知します：この電子メールは疑わしいように見えます。信頼できる方法で送信元を確認せずに、この電子メールに記載されている情報、リンク、添付ファイルを信用しないでください。

マイクロソフト社によれば、この欠陥はSolidlab社のSlonser氏によって発見されたもので、Slonser氏はこの記事でこの欠陥を公表している。

CVE-2024-49019– Active Directory 証明書サービスの特権昇格の脆弱性

マイクロソフトは、組み込みのデフォルトのバージョン 1 証明書テンプレートを悪用することで、攻撃者がドメイン管理者権限を獲得できる不具合を修正しました。

「バージョン 1 の証明書テンプレートを使用して作成された証明書で、サブジェクト名のソースが「リクエストで提供される」に設定され、登録権限がドメインユーザーやドメインコンピュータなど、より広範なアカウントに付与されているものを公開していないか確認してください。

「例として、組み込みのWeb Serverテンプレートが挙げられますが、デフォルトではEnroll権限が制限されているため、脆弱性はありません」。

この欠陥はTrustedSecのLou Scicchitano氏、Scot Berner氏、Justin Bollinger氏によって発見されたもので、TrustedSecは10月にこの脆弱性 “EKUwu “を公表している。

「組み込みのデフォルトのバージョン1証明書テンプレートを使用すると、攻撃者はCSRを細工して、テンプレートで指定された設定済みの拡張キー使用属性よりも優先されるアプリケーション・ポリシーを含めることができる。

「必要なのは登録権限だけであり、WebServerテンプレートを使用してクライアント認証、証明書要求エージェント、コード署名証明書を生成するために使用できる。

上記の通り、CVE-2024-43451も公開されている。

他社の最近のアップデート

2024年11月に更新または勧告をリリースした他のベンダーは以下のとおりです：

• Adobe は、Photoshop、Illustrator、Commerce など、多数のアプリケーションのセキュリティ更新プログラムをリリースしています。
• Cisco は、Cisco Phones、Nexus Dashboard、Identity Services Engine など、複数の製品のセキュリティアップデートをリリースしています。
• Citrix は、NetScaler ADC および NetScaler Gateway の脆弱性に対す るセキュリティアップデートをリリース。また、Watchtowr によって報告された Citrix Virtual Apps and Desktops に対するアップデートもリリースした。
• デル、SONiC OS のコード実行およびセキュリティバイパスの欠陥に対するセキュリティアップデートをリリース。
• D-Link、アカウントパスワードの改ざんを可能にする DSL6740C の重大な欠陥に対するセキュリティアップデートをリリース。
• グーグル、12のセキュリティ修正を含むChrome131をリリース。ゼロデイなし。
• Ivanti、「Ivanti Connect Secure」（ICS）、「Ivanti Policy Secure」（IPS）、「Ivanti Secure Access Client」（ISAC）の25件の脆弱性に対するセキュリティアップデートを公開。
• SAP 、November Patch Dayの一環として、複数の製品のセキュリティアップデートを公開。
• シュナイダーエレクトリック、Modicon M340、Momentum、MC80 製品の欠陥に対するセキュリティアップデートをリリース。
• シーメンス は、CVE-2024-44102 として追跡されている TeleControl Server Basic の 10/10 の重大な欠陥に対するセキュリティアップデートをリリースした。

2024年11月パッチチューズデーセキュリティアップデート

以下は、2024 年 11 月のパッチ・チューズデー・アップデートで解決された脆弱性の完全なリストです。

各脆弱性の完全な説明および影響するシステムにアクセスするには、ここで完全なレポートを参照してください。

更新 9/11/24: 活発に悪用された欠陥は 3 つだけであること、および CVE-2024-43491 が悪用されたとマークされた理由を説明するために更新しました。