マイクロソフトの2021年5月パッチ配信日（パッチチューズデー）では、55の脆弱性、3つのゼロデイが修正されました。
2021年5月12日マイクロソフトの2021年5月のパッチチューズデーですが、これには3つのゼロデイ脆弱性が含まれており、Windows管理者は更新プログラムの適用を至急行ったほうがよいものになっっております。
本アップデートでは、マイクロソフトは55件の脆弱性を修正、4件が「重要」、50件が「重要」、1件が「中程度」に分類されています。
今回修正された3つのゼロデイ脆弱性は、一般に公開されているものの攻撃に使用されている事実は把握されていません。
セキュリティ以外のWindowsアップデートについては、今回のWindows 10 KB5003169 & KB5003173累積アップデートをご覧ください。
3つのゼロデイ脆弱性を修正
今回のパッチチューズデーの一環として、マイクロソフトは公開されている3つの脆弱性を修正しました。
以下の4つの脆弱性は、マイクロソフトが公開されているが悪用されていないとしています。
- CVE-2021-31204 – .NET および Visual Studio における特権昇格の脆弱性
- CVE-2021-31207 – Microsoft Exchange Server のセキュリティ機能バイパスの脆弱性。2021年のPwn2Ownのハッキングチャレンジで使用されました。これがDevcore社やTeam Viettel社が公開した脆弱性であるかどうかは明らかではありません。
- CVE-2021-31200 – 共通ユーティリティーのリモートコード実行の脆弱性。この脆弱性はResec System の Abhiram V 氏が GitHub で公開しました。
今回発表されたゼロデイは、いずれも実社会で悪用されたという報告はありません。
ただし攻撃者がパッチを分析して、特にMicrosoft Exchangeの脆弱性に対するエクスプロイトを作成することが予想されます。そのため、できるだけ早くセキュリティアップデートを適用することが重要となります。
他社の最新アップデート
5月にアップデートを公開した他のベンダーは以下の通りです。
- Adobe社：Adobe Creative Cloud Desktop、Framemaker、Connectのセキュリティアップデートを公開しました。
- Android：5月のセキュリティアップデートを公開しました。
- Apple：iOS、macOS、iPadOS、watchOS、Safariのセキュリティアップデートを公開し、Webkitの脆弱性を積極的に悪用した問題を修正しました。
- Cisco：多数の製品のセキュリティアップデートを公開しました。
- SAP：2021年5月のセキュリティアップデートを公開しました。
- VMware：5月のセキュリティアップデートを公開しました
以下は、2021年5月のパッチチューズデーアップデートで解決された脆弱性とリリースされた修正の全リストです。各脆弱性の完全な説明と影響を受けるシステムにアクセスするには、それぞれのページを参照してください。
| Tag | CVE ID | CVE Title | Severity |
|---|---|---|---|
| .NET Core & Visual Studio | CVE-2021-31204 | .NET and Visual Studio Elevation of Privilege Vulnerability | Important |
| HTTP.sys | CVE-2021-31166 | HTTP Protocol Stack Remote Code Execution Vulnerability | Critical |
| Internet Explorer | CVE-2021-26419 | Scripting Engine Memory Corruption Vulnerability | Critical |
| Jet Red and Access Connectivity | CVE-2021-28455 | Microsoft Jet Red Database Engine and Access Connectivity Engine Remote Code Execution Vulnerability | Important |
| Microsoft Accessibility Insights for Web | CVE-2021-31936 | Microsoft Accessibility Insights for Web Information Disclosure Vulnerability | Important |
| Microsoft Bluetooth Driver | CVE-2021-31182 | Microsoft Bluetooth Driver Spoofing Vulnerability | Important |
| Microsoft Dynamics Finance & Operations | CVE-2021-28461 | Dynamics Finance and Operations Cross-site Scripting Vulnerability | Important |
| Microsoft Exchange Server | CVE-2021-31195 | Microsoft Exchange Server Remote Code Execution Vulnerability | Important |
| Microsoft Exchange Server | CVE-2021-31209 | Microsoft Exchange Server Spoofing Vulnerability | Important |
| Microsoft Exchange Server | CVE-2021-31207 | Microsoft Exchange Server Security Feature Bypass Vulnerability | Moderate |
| Microsoft Exchange Server | CVE-2021-31198 | Microsoft Exchange Server Remote Code Execution Vulnerability | Important |
| Microsoft Graphics Component | CVE-2021-31170 | Windows Graphics Component Elevation of Privilege Vulnerability | Important |
| Microsoft Graphics Component | CVE-2021-31188 | Windows Graphics Component Elevation of Privilege Vulnerability | Important |
| Microsoft Office | CVE-2021-31176 | Microsoft Office Remote Code Execution Vulnerability | Important |
| Microsoft Office Excel | CVE-2021-31175 | Microsoft Office Remote Code Execution Vulnerability | Important |
| Microsoft Office Excel | CVE-2021-31177 | Microsoft Office Remote Code Execution Vulnerability | Important |
| Microsoft Office Excel | CVE-2021-31179 | Microsoft Office Remote Code Execution Vulnerability | Important |
| Microsoft Office Excel | CVE-2021-31178 | Microsoft Office Information Disclosure Vulnerability | Important |
| Microsoft Office Excel | CVE-2021-31174 | Microsoft Excel Information Disclosure Vulnerability | Important |
| Microsoft Office SharePoint | CVE-2021-28478 | Microsoft SharePoint Spoofing Vulnerability | Important |
| Microsoft Office SharePoint | CVE-2021-31181 | Microsoft SharePoint Remote Code Execution Vulnerability | Important |
| Microsoft Office SharePoint | CVE-2021-26418 | Microsoft SharePoint Spoofing Vulnerability | Important |
| Microsoft Office SharePoint | CVE-2021-28474 | Microsoft SharePoint Server Remote Code Execution Vulnerability | Important |
| Microsoft Office SharePoint | CVE-2021-31171 | Microsoft SharePoint Information Disclosure Vulnerability | Important |
| Microsoft Office SharePoint | CVE-2021-31173 | Microsoft SharePoint Server Information Disclosure Vulnerability | Important |
| Microsoft Office SharePoint | CVE-2021-31172 | Microsoft SharePoint Spoofing Vulnerability | Important |
| Microsoft Office Word | CVE-2021-31180 | Microsoft Office Graphics Remote Code Execution Vulnerability | Important |
| Microsoft Windows Codecs Library | CVE-2021-31192 | Windows Media Foundation Core Remote Code Execution Vulnerability | Important |
| Microsoft Windows Codecs Library | CVE-2021-28465 | Web Media Extensions Remote Code Execution Vulnerability | Important |
| Microsoft Windows IrDA | CVE-2021-31184 | Microsoft Windows Infrared Data Association (IrDA) Information Disclosure Vulnerability | Important |
| Open Source Software | CVE-2021-31200 | Common Utilities Remote Code Execution Vulnerability | Important |
| Role: Hyper-V | CVE-2021-28476 | Hyper-V Remote Code Execution Vulnerability | Critical |
| Skype for Business and Microsoft Lync | CVE-2021-26422 | Skype for Business and Lync Remote Code Execution Vulnerability | Important |
| Skype for Business and Microsoft Lync | CVE-2021-26421 | Skype for Business and Lync Spoofing Vulnerability | Important |
| Visual Studio | CVE-2021-27068 | Visual Studio Remote Code Execution Vulnerability | Important |
| Visual Studio Code | CVE-2021-31214 | Visual Studio Code Remote Code Execution Vulnerability | Important |
| Visual Studio Code | CVE-2021-31211 | Visual Studio Code Remote Code Execution Vulnerability | Important |
| Visual Studio Code | CVE-2021-31213 | Visual Studio Code Remote Containers Extension Remote Code Execution Vulnerability | Important |
| Windows Container Isolation FS Filter Driver | CVE-2021-31190 | Windows Container Isolation FS Filter Driver Elevation of Privilege Vulnerability | Important |
| Windows Container Manager Service | CVE-2021-31168 | Windows Container Manager Service Elevation of Privilege Vulnerability | Important |
| Windows Container Manager Service | CVE-2021-31169 | Windows Container Manager Service Elevation of Privilege Vulnerability | Important |
| Windows Container Manager Service | CVE-2021-31208 | Windows Container Manager Service Elevation of Privilege Vulnerability | Important |
| Windows Container Manager Service | CVE-2021-31165 | Windows Container Manager Service Elevation of Privilege Vulnerability | Important |
| Windows Container Manager Service | CVE-2021-31167 | Windows Container Manager Service Elevation of Privilege Vulnerability | Important |
| Windows CSC Service | CVE-2021-28479 | Windows CSC Service Information Disclosure Vulnerability | Important |
| Windows Desktop Bridge | CVE-2021-31185 | Windows Desktop Bridge Denial of Service Vulnerability | Important |
| Windows OLE | CVE-2021-31194 | OLE Automation Remote Code Execution Vulnerability | Critical |
| Windows Projected File System FS Filter | CVE-2021-31191 | Windows Projected File System FS Filter Driver Information Disclosure Vulnerability | Important |
| Windows RDP Client | CVE-2021-31186 | Windows Remote Desktop Protocol (RDP) Information Disclosure Vulnerability | Important |
| Windows SMB | CVE-2021-31205 | Windows SMB Client Security Feature Bypass Vulnerability | Important |
| Windows SSDP Service | CVE-2021-31193 | Windows SSDP Service Elevation of Privilege Vulnerability | Important |
| Windows WalletService | CVE-2021-31187 | Windows WalletService Elevation of Privilege Vulnerability | Important |
| Windows Wireless Networking | CVE-2020-24588 | Windows Wireless Networking Spoofing Vulnerability | Important |
| Windows Wireless Networking | CVE-2020-24587 | Windows Wireless Networking Information Disclosure Vulnerability | Important |
| Windows Wireless Networking | CVE-2020-26144 | Windows Wireless Networking Spoofing Vulnerability | Important |
Comments