Microsoft の 2023 年 5 月の月例パッチで 3 つのゼロデイと 38 の欠陥が修正されました

CVE-2023-29336 – Win32k の権限昇格の脆弱性

Microsoft は、特権を Windows の最高のユーザー特権レベルである SYSTEM に昇格させる Win32k カーネル ドライバーの特権昇格の脆弱性を修正しました。

「この脆弱性の悪用に成功した攻撃者は、SYSTEM 権限を取得する可能性があります」と Microsoft のアドバイザリを読みます。

Microsoft はこのバグが積極的に悪用されていると報告していますが、どのように悪用されたかについての詳細はありません。

Microsoft は、Avast の Jan Vojtešek、Milánek、Luigino Camastra が脆弱性を発見したと述べています。

CVE-2023-24932 – セキュア ブート セキュリティ機能バイパスの脆弱性

Microsoft は、攻撃者がBlackLotus UEFI ブートキットをインストールするために使用したセキュア ブート バイパスの欠陥を修正しました。

「この脆弱性を悪用するために、ターゲット デバイスへの物理的なアクセス権または管理者権限を持つ攻撃者が、影響を受けるブート ポリシーをインストールする可能性があります」と Microsoft のアドバイザリは述べています。

UEFI ブートキットは、システム ファームウェアに埋め込まれたマルウェアであり、オペレーティング システム内で実行されているセキュリティ ソフトウェアからは見えません。これは、マルウェアが起動シーケンスの初期段階で読み込まれるためです。

2022 年 10 月以降、攻撃者が BlackLotus ブートキットをハッカー フォーラムで販売し、その機能を進化させ続けています。たとえば、ESET は 3 月に、 完全にパッチが適用された Windows 11 オペレーティング システムでもセキュア ブートをバイパスするように開発者がマルウェアを改良したことを報告しました。

Microsoft は先月、 BlackLotus UEFI ブートキット攻撃を検出する方法に関するガイダンスをリリースしました。本日の月例パッチで、Microsoft はブートキットで使用される脆弱性を修正しましたが、デフォルトでは有効化していません。

「このセキュリティ更新プログラムは、Windows ブート マネージャーを更新することで脆弱性を解決しますが、既定では有効になっていません」と Microsoft のアドバイザリは説明しています。

「脆弱性を緩和するために、現時点で追加の手順が必要です。環境への影響を判断する手順については、次を参照してください: KB5025885: CVE-2023-24932 に関連するセキュア ブートの変更に対する Windows ブート マネージャーの失効を管理する方法。 」

Microsoft は、この脆弱性は以前に修正されたCVE-2022-21894の脆弱性を回避するものであると述べています。

CVE-2023-29325 – Windows OLE のリモート コード実行の脆弱性

Microsoft は、特別に細工された電子メールを使用して悪用できる Microsoft Outlook の Windows OLE の脆弱性を修正しました。

「電子メール攻撃のシナリオでは、攻撃者は特別に細工した電子メールを被害者に送信することで、この脆弱性を悪用する可能性があります」と Microsoft のアドバイザリは警告しています。

「この脆弱性の悪用には、被害者が影響を受けるバージョンの Microsoft Outlook ソフトウェアで特別に細工された電子メールを開くか、被害者の Outlook アプリケーションが特別に細工された電子メールのプレビューを表示することが含まれる可能性があります。」

「これにより、攻撃者が被害者のマシンでリモート コードを実行する可能性があります。」

ただし、攻撃者は「競合」状態に勝ち、欠陥を悪用するために追加のアクションを実行する必要があります。

Microsoft は、ユーザーがすべてのメッセージをプレーン テキスト形式で読み取ることにより、この脆弱性を軽減できると述べています。

Vuln Labs の Will Dormann がこの脆弱性を発見しました。