マイクロソフト、2025年2月のパッチ・チューズデーで4件のゼロデイと55件の欠陥を修正

.crit { font-weight:bold; color:red; } .article_section td { font-size: 14px！important;}。

本日はマイクロソフトの2025年2月パッチ・チューズデーであり、4件のゼロデイ脆弱性を含む55件の欠陥に対するセキュリティ更新が含まれている。

今回のパッチ・チューズデーでは、3件の「クリティカル」な脆弱性も修正されており、いずれもリモート・コード実行の脆弱性である。

各脆弱性カテゴリーにおけるバグの数は以下の通り：

• 特権昇格の脆弱性 19件
• 2 セキュリティ機能バイパスの脆弱性
• 22 リモート・コード実行の脆弱性
• 1 情報漏えいの脆弱性
• 9 サービス拒否の脆弱性
• 3 スプーフィング脆弱性

上記の件数には、2月6日に修正されたMicrosoft Dynamics 365 Salesの重大な特権昇格の不具合およびMicrosoft Edgeの脆弱性10件は含まれていません。

本日リリースされた非セキュリティ更新プログラムの詳細については、Windows 11 KB5051987 & KB5051989 累積更新プログラムおよびWindows 10 KB5051974 更新プログラムに関する専用記事をご覧ください。

アクティブに悪用される2つのゼロデイが公開

今月のパッチ・チューズデーでは、アクティブに悪用されている2件のゼロデイ脆弱性と、一般に公開されている2件のゼロデイ脆弱性が修正された。

マイクロソフトでは、ゼロデイ脆弱性を、公式な修正プログラムが提供されていないにもかかわらず、一般に公開されているもの、または積極的に悪用されているものと分類している。

本日のアップデートに含まれるアクティブに悪用されるゼロデイ脆弱性は以下の通り：

CVE-2025-21391– Windows Storage における特権昇格の脆弱性

マイクロソフトは、アクティブに悪用される特権昇格の脆弱性を修正しました。

「攻撃者はシステム上の標的のファイルを削除することしかできない。

「この脆弱性によって機密情報が開示されることはありませんが、攻撃者がサービスを利用できなくなるデータを含むデータを削除できる可能性があります」とマイクロソフト社は続けた。

この欠陥が攻撃でどのように悪用されたのか、また誰がこの欠陥を公表したのかについての情報は公表されていない。

CVE-2025-21418– WinSock用Windows補助機能ドライバに特権昇格の脆弱性

積極的に悪用されている2番目の脆弱性は、脅威者がWindowsのSYSTEM権限を獲得することを可能にします。

この脆弱性がどのように攻撃に利用されたかは不明であり、マイクロソフトはこの脆弱性は匿名で公開されたとしている。

公開されているゼロデイ脆弱性は以下の通り：

CVE-2025-21194– Microsoft Surface セキュリティ機能バイパスの脆弱性

マイクロソフトによると、この欠陥はハイパーバイザーの脆弱性であり、UEFIをバイパスしてセキュアカーネルを侵害する攻撃を可能にする。

「このハイパーバイザーの脆弱性は、Unified Extensible Firmware Interface（UEFI）ホストマシン内の仮想マシンに関連しています。

「特定のハードウェア上では、UEFIをバイパスすることが可能で、ハイパーバイザーとセキュアカーネルの侵害につながる可能性がある。

マイクロソフト社によると、この脆弱性を発見したのはQuarkslab社のFrancisco Falcón氏とIván Arce氏だという。

マイクロソフト社は、この欠陥について多くの詳細を共有していないが、先月研究者たちによって公開されたPixieFailの欠陥に関連している可能性が高い。

PixieFailは、Microsoft Surfaceや同社のハイパーバイザー製品で使用されているTianocore社のEDK IIのIPv6ネットワーク・プロトコル・スタックに影響を与える9つの脆弱性のセットである。

CVE-2025-21377– NTLM ハッシュ開示なりすましの脆弱性

マイクロソフトは、公開されたバグを修正し、Window ユーザーの NTLM ハッシュを公開し、リモートの攻撃者が潜在的にそのユーザーとしてログインできるようにしました。

「悪意のあるファイルを選択（シングルクリック）、検査（右クリック）したり、ファイルを開いたり実行したりする以外のアクションを実行するなど、ユーザーによる悪意のあるファイルとの最小限の相互作用が、この脆弱性を誘発する可能性がある」とマイクロソフトのアドバイザリは説明している。

マイクロソフトはこの欠陥について多くの詳細を共有していないが、おそらく他の NTLM ハッシュ開示の欠陥と同じように動作し、ファイルを開くのではなく、単にファイルを操作するだけで、Windows がリモート共有にリモート接続する可能性がある。その際、NTLM ネゴシエーションはユーザの NTLM ハッシュをリモートサーバに渡し、攻撃者はそれを収集することができる。

これらの NTLM ハッシュは、プレーンテキストのパスワードを取得するためにクラックされたり、パスザハッシュ攻撃で使用されたりする可能性がある。

マイクロソフト社によると、この欠陥はキャセイパシフィック航空の Owen Cheung 氏、Ivan Sheung 氏、Vincent Yau 氏、Securify B.V. の Yorick Koster 氏、ACROS Security 社の 0patch を使用する Blaz Satler 氏によって発見されたとのことです。

他社の最近のアップデート

2025年2月にアップデートやアドバイザリをリリースした他のベンダーは以下の通り：

• Adobeは、Adobe Photoshop、Substance3D、Illustrator、Animateなど、多数の製品のセキュリティアップデートをリリースした。
• AMDは、悪意のあるCPUマイクロコードを読み込むために悪用される可能性のある脆弱性に対処するための緩和策とファームウェアのアップデートをリリースした。
• アップル社は、「極めて巧妙な」攻撃で悪用されるゼロデイに対するセキュリティ・アップデートを公開。
• シスコは、Cisco IOS、ISE、NX-OS、Identity Services を含む複数の製品のセキュリティアップデートをリリースした。
• Google は、Android Kernel の USB Video Class ドライバに悪用されるゼロデイ脆弱性を修正した。
• Ivanti は、Connect Secure、Neurons for MDM、Cloud Service Application のセキュリティアップデートをリリースした。
• フォーティネットは、FortiManager、FortiOS、FortiAnalyzer、FortiSwitchManagerなど、多数の製品のセキュリティアップデートをリリースした。
• ネットギアは、複数のWiFiルーターモデルに影響する2つの重大な脆弱性を修正。
• SAP 、複数の製品向けにセキュリティアップデートをリリース。

2025年2月パッチチューズデーのセキュリティアップデート

以下は、2025 年 2 月の Patch Tuesday アップデートで解決された脆弱性の全リストです。

各脆弱性の完全な説明と影響するシステムにアクセスするには、ここで完全なレポートを見ることができます。