Microsoft 2023 年 1 月の月例パッチで 98 件の欠陥と 1 件のゼロデイが修正されました

.crit {
font-weight:bold;
color:red;
}
.article_section td {
font-size: 14px!important;
}

今日はマイクロソフトの 2023 年 1 月の月例パッチで、積極的に悪用されているゼロデイ脆弱性と合計 98 の欠陥に対する修正が含まれています。

これは 2023 年最初の月例パッチであり、なんと 98 件の脆弱性が修正され、そのうち 11 件が「重大」に分類されています。

マイクロソフトは、リモート コード実行、セキュリティ機能のバイパス、または権限の昇格を可能にするため、脆弱性にこの深刻度を与えました。

各脆弱性カテゴリのバグ数は次のとおりです。

• 39 権限昇格の脆弱性
• 4 セキュリティ機能バイパスの脆弱性
• 33 リモートでコードが実行される脆弱性
• 10 情報漏えいの脆弱性
• 10 サービス拒否の脆弱性
• 2 なりすましの脆弱性

1 つのゼロデイ固定

今月のパッチ チューズデーでは、1 つのゼロデイ脆弱性が修正されます。1 つは積極的に悪用され、もう 1 つは公開されています。

Microsoft は、脆弱性が一般に公開されているか、公式の修正プログラムがない状態で積極的に悪用されている場合、その脆弱性をゼロデイとして分類します。

本日のアップデートで修正された、活発に悪用されているゼロデイ脆弱性は次のとおりです。

CVE-2023-21674 – Avast の Jan Vojtěšek、Milánek、および Przemek Gmerek によって発見された Windows Advanced Local Procedure Call (ALPC) の特権の昇格の脆弱性。

Microsoft は、これがサンドボックス エスケープの脆弱性であり、特権の昇格につながる可能性があると述べています。

「この脆弱性の悪用に成功した攻撃者は、SYSTEM 権限を取得する可能性があります」と Microsoft のアドバイザリは説明しています。

攻撃者がこの脆弱性をどのように攻撃に利用し、アバストにコメントを求めたのかは不明です。

Microsoftはまた、「 CVE-2023-21549 – Windows SMB Witness Service Elevation of Privilege Vulnerability 」が公開されたと述べています。

しかし、Akamai のセキュリティ研究者である Stiv Kupchikから、彼らは通常の開示プロセスに従っており、脆弱性は公開されたものとして分類されるべきではないと言われました。

他社からの最近のアップデート

2023 年 1 月に更新プログラムをリリースしたその他のベンダーは次のとおりです。

• アドビは、多数の製品のセキュリティ更新プログラムをリリースしました。
• シスコは、Cisco IP Phone 7800 および 8800 電話のセキュリティ アップデートをリリースしました。
• Citrixは、Cisco Identity Services のセキュリティ アップデートをリリースしました。
• フォーティネットは、さまざまな製品のセキュリティ アップデートをリリースしました。
• Intelは、oneAPI ツールキットのセキュリティ アップデートをリリースしました。
• SAPは、 2023 年 1 月のパッチ デイ更新プログラムをリリースしました。
• Synologyは、Synology VPN Plus Server のセキュリティ アップデートをリリースしました。

2023 年 1 月の月例セキュリティ更新プログラム

以下は、2023 年 1 月の月例パッチ更新プログラムで解決された脆弱性とリリースされたアドバイザリの完全なリストです。各脆弱性とその影響を受けるシステムの完全な説明にアクセスするには、 ここで完全なレポートを表示できます。