マイクロソフト2024年12月パッチ・チューズデー、悪用されたゼロデイ1件と71件の欠陥を修正

.crit { font-weight:bold; color:red; } .article_section td { font-size: 14px！important;}。

本日は、マイクロソフトの12月2024日パッチ・チューズデーであり、積極的に悪用されるゼロデイ脆弱性1件を含む71件の欠陥に対するセキュリティ更新が含まれている。

今回のパッチ・チューズデーでは、16件の重要な脆弱性が修正され、そのすべてがリモート・コード実行の不具合である。

各脆弱性カテゴリーにおけるバグの数は以下の通り：

• 27 権限昇格の脆弱性
• 30 リモート・コード実行の脆弱性
• 7 情報漏洩の脆弱性
• 5 サービス拒否の脆弱性
• 1 スプーフィング脆弱性

この件数には、12月5日と6日に修正された2件のEdgeの不具合は含まれていません。

本日リリースされたセキュリティ更新プログラム以外の更新プログラムの詳細については、Windows 11 KB5048667 & KB5048685 累積更新プログラムおよびWindows 10 KB5048652 累積更新プログラムに関する専門記事をご覧ください。

アクティブに悪用されるゼロデイが1件公開

今月のパッチ・チューズデーでは、アクティブに悪用され、公開されたゼロデイ脆弱性1件が修正されました。

マイクロソフトでは、ゼロデイ脆弱性を、公式な修正プログラムが提供されていないにもかかわらず、一般に公開されている、または積極的に悪用されている脆弱性と分類しています。

本日のアップデートに含まれるアクティブに悪用されるゼロデイ脆弱性は以下の通り：

CVE-2024-49138– Windows Common Log File System Driver の特権昇格の脆弱性

マイクロソフトは、攻撃者が Windows デバイス上で SYSTEM 権限を取得することを可能にする、アクティブに悪用されるゼロデイ脆弱性を修正しました。

この欠陥が攻撃においてどのように悪用されたかについての情報は公表されていない。

しかし、この欠陥は CrowdStrike の Advanced Research Team によって発見されたものであるため、今後、この欠陥の悪用に関するレポートが発表される可能性があります。

詳細はCrowdStrikeに問い合わせたが、まだ回答は得られていない。

他社の最近のアップデート

2024年12月にアップデートやアドバイザリをリリースした他のベンダーは以下の通りです：

• Adobeは、Photoshop、Commerce、Illustrator、InDesign、After Effects、Bridgeなど、多数の製品のセキュリティアップデートを公開した。
• CISAは、MOBATIME、Schneider Electric、National Instruments、Horner Automation、Rockwell Automation、Ruijieの産業用制御システムの脆弱性に関するアドバイザリをリリースした。
• クレオのセキュリティファイル転送に、データ窃取攻撃で悪用されるゼロデイによる影響がある。
• シスコ、Cisco NX-OS および Cisco ASA を含む複数の製品のセキュリティアップデートをリリース。
• IO-Dataのゼロデイルーターの欠陥が、デバイスを乗っ取る攻撃に悪用される。
• 0patch が、攻撃者が NTLM 認証情報を取得できる Windows のゼロデイ脆弱性に対する非公式パッチをリリース。
• OpenWrt、攻撃者に悪意のあるファームウェアイメージを配布させる Sysupgrade の欠陥に対するセキュリティアップデートをリリース。
• SAP 、12月パッチデーの一環として複数の製品のセキュリティ更新プログラムをリリース。
• Veeam、Service Provider Consoleの重大なRCEバグに対するセキュリティ・アップデートをリリース。

2024年12月パッチ・チューズデー・セキュリティ・アップデート

以下は、12月2024 Patch Tuesdayアップデートで解決された脆弱性の全リストです。

各脆弱性の完全な説明と影響するシステムにアクセスするには、ここで完全なレポートを見ることができます。