Microsoft の 2023 年 3 月の月例パッチにより、2 つのゼロデイ、83 の欠陥が修正されます

.crit {
font-weight:bold;
color:red;
}
.article_section td {
font-size: 14px!important;
}

今日は、Microsoft の 2023 年 3 月の月例パッチで、セキュリティ更新プログラムは、活発に悪用されている 2 つのゼロデイ脆弱性と合計 83 の欠陥を修正します。

9 件の脆弱性が、リモート コード実行、サービス拒否、または権限昇格攻撃を可能にする「重大」に分類されています。

各脆弱性カテゴリのバグ数は次のとおりです。

• 21 権限昇格の脆弱性
• 2 セキュリティ機能バイパスの脆弱性
• 27 リモートでコードが実行される脆弱性
• 15 情報漏えいの脆弱性
• 4 サービス拒否の脆弱性
• 10 なりすましの脆弱性
• 1 エッジ – クロムの脆弱性

この数には、昨日修正された 21 件の Microsoft Edge の脆弱性は含まれていません。

2 つのゼロデイが修正されました

今月のパッチ チューズデーでは、攻撃で活発に悪用されている 2 つのゼロデイ脆弱性が修正されています。

Microsoft は、脆弱性が一般に公開されているか、公式の修正プログラムがない状態で積極的に悪用されている場合、その脆弱性をゼロデイとして分類します。

本日のアップデートで修正された、活発に悪用されている 2 つのゼロデイ脆弱性は次のとおりです。

CVE-2023-23397 – Microsoft Outlook の権限昇格の脆弱性

Microsoft は、特別に細工された電子メールが標的のデバイスを強制的にリモート URL に接続させ、Windows アカウントの Net-NTLMv2 ハッシュを送信することを可能にする Microsoft Outlook の特権昇格のバグを修正しました。

「外部の攻撃者は、特別に細工された電子メールを送信して、被害者から攻撃者の制御下にある外部の UNC ロケーションに接続する可能性があります。これにより、被害者の Net-NTLMv2 ハッシュが攻撃者に漏洩し、攻撃者はこれを別のサービスに中継して認証することができます。犠牲者として。」と Microsoft の勧告を読みます。

Microsoft は、脆弱性が「電子メール サーバーによって取得および処理されると自動的にトリガーされる」ため、この脆弱性はプレビュー ペインで読み取られる前にトリガーされると警告しています。

この脆弱性は、CERT-UA、Microsoft Incident、Microsoft Threat Intelligence (MSTI) によって公開されました。

CVE-2023-24880 – Windows SmartScreen セキュリティ機能バイパスの脆弱性

Microsoft は、以前はマルウェアの配布とインストールに悪用されていた、活発に悪用されている Windows SmartScreen のゼロデイ脆弱性を修正しました。

「攻撃者は、Mark of the Web (MOTW) 防御を回避する悪意のあるファイルを作成することができます。その結果、MOTW タグ付けに依存する Microsoft Office の保護されたビューなどのセキュリティ機能の整合性と可用性が制限的に失われます」と、Microsoft のアドバイザリを読むと、 .

悪用されると、Mark of the Web (MoTW) セキュリティ警告をトリガーすることなく、悪意のあるファイルが実行される可能性があります。

この脆弱性は、Google の Threat Analysis Group の Benoît Sevens と Vlad Stolyarov、および Microsoft の Bill Demirkapi によって公開されました。

他社からの最近のアップデート

2023 年 3 月に更新プログラムをリリースしたその他のベンダーは次のとおりです。

• Apple は、 macOS 10.4.8 用の GarageBand のセキュリティ アップデートをリリースしました。
• シスコは、複数の製品のセキュリティ アップデートをリリースしました。
• Google は、 2023 年 3 月の Android 、 ChromeOS 、 Google Chrome のセキュリティ アップデートをリリースしました。
• Fortinet は、 攻撃で積極的に悪用されているFortiOS のバグに対するセキュリティ アップデートをリリースしました。
• SAP は、 2023 年 3 月のパッチ デイ更新をリリースしました。
• Veeam は、 Veeam Backup & Replication (VBR) の RCE 欠陥に対するセキュリティ更新プログラムをリリースしました。

2023 年 3 月の月例セキュリティ更新プログラム

以下は、2023 年 3 月の月例パッチ更新で解決された脆弱性とリリースされたアドバイザリの完全なリストです。各脆弱性とそれが影響するシステムの完全な説明にアクセスするには、 ここで完全なレポートを表示できます。