Microsoft 2022 年 11 月の月例パッチ、エクスプロイトされた 6 つのゼロデイと 68 の欠陥が修正

Microsoft の 2022 年 11 月の月例パッチで、積極的に悪用されている 6 つの Windows 脆弱性と合計 68 の欠陥に対する修正が含まれています。

本日のアップデートで修正された 68 の脆弱性のうち 11 は、最も深刻なタイプの脆弱性の 1 つである、権限の昇格、なりすまし、またはリモート コード実行を可能にするため、「緊急」に分類されます。

各脆弱性カテゴリのバグ数は次のとおりです。

• 27 権限昇格の脆弱性
• 4 セキュリティ機能バイパスの脆弱性
• 16 リモートでコードが実行される脆弱性
• 11 情報漏えいの脆弱性
• 6 サービス拒否の脆弱性
• 3 なりすましの脆弱性

上記の数には、11 月 2 日に公開された2 つの OpenSSL の脆弱性は含まれていません。

積極的に悪用された 6 つのゼロデイが修正

今月のパッチ チューズデーでは、活発に悪用されている 6 つのゼロデイ脆弱性が修正され、そのうちの 1 つが公開されています。

Microsoft は、脆弱性が一般に公開されているか、公式の修正プログラムがない状態で積極的に悪用されている場合、その脆弱性をゼロデイとして分類します。

本日のアップデートで修正された、活発に悪用されている 6 つのゼロデイ脆弱性は次のとおりです。

CVE-2022-41128 – Google の脅威分析グループの Clément Lecigne によって発見された、Windows スクリプト言語のリモートでコードが実行される脆弱性

「この脆弱性を利用するには、影響を受けるバージョンの Windows を使用しているユーザーが悪意のあるサーバーにアクセスする必要があります。攻撃者は、特別に細工されたサーバー共有または Web サイトをホストする必要があります。攻撃者は、この特別に細工されたサーバー共有または Web サイトにユーザーを強制的にアクセスさせることはできません。 、しかし、通常は電子メールまたはチャットメッセージでの誘惑によって、サーバー共有またはWebサイトにアクセスするように説得する必要があります。」

CVE-2022-41091 – Will Dormann によって発見された Web セキュリティ機能バイパス脆弱性

「攻撃者は、Mark of the Web (MOTW) 防御を回避する悪意のあるファイルを作成することができます。その結果、MOTW タグ付けに依存する Microsoft Office の保護されたビューなどのセキュリティ機能の整合性と可用性が制限的に失われます。」

Dormann は 7 月に Twitter でこの脆弱性を示し、特別に細工された Zip ファイルが Mark of the Web セキュリティ機能をバイパスできるようにしました。今日、Dormann は、読み取り専用ファイルを含む ZIP アーカイブを作成するという単純な脆弱性を悪用する方法の詳細を提供しました。

CVE-2022-41073 – Microsoft Threat Intelligence Center (MSTIC) によって発見された Windows 印刷スプーラーの特権昇格の脆弱性

「この脆弱性の悪用に成功した攻撃者は、SYSTEM 権限を取得する可能性があります。」

CVE-2022-41125 – Microsoft Threat Intelligence Center (MSTIC) および Microsoft Security Response Center (MSRC) によって発見された、Windows CNG キー分離サービスの特権昇格の脆弱性

「この脆弱性の悪用に成功した攻撃者は、SYSTEM 権限を取得する可能性があります。」

CVE-2022-41040 – Microsoft Exchange Server の特権昇格の脆弱性が GTSC によって発見され、Zero Dat イニシアチブを通じて公開されました

「攻撃者が取得した特権は、システムのコンテキストで PowerShell を実行する能力です。」

CVE-2022-41082 – Microsoft Exchange Server のリモートでコードが実行される脆弱性が GTSC によって発見され、Zero Dat イニシアチブを通じて公開されました。

「この脆弱性の攻撃者は、サーバー アカウントを標的にして任意またはリモートでコードを実行する可能性があります。認証されたユーザーとして、攻撃者はネットワーク呼び出しを通じてサーバーのアカウントのコンテキストで悪意のあるコードをトリガーしようとする可能性があります。」

上記の Microsoft Exchange の脆弱性に関する詳細については、次のセクションを参照してください。

Microsoft Exchange ProxyNotShell のゼロデイが修正

マイクロソフトは、CVE-2022-41040 および CVE-2022-41082 (別名 ProxyNotShell) として追跡されている、 活発に悪用されている 2 つのゼロデイ脆弱性に対するセキュリティ更新プログラムをリリースしました。

これらの脆弱性は、攻撃で使用される欠陥を最初に発見したベトナムのサイバーセキュリティ会社 GTSC によって 9 月下旬に公開されました。

この脆弱性は、Zero Day Initiative プログラムを通じて Microsoft に報告されました。

本日、Microsoft は、Microsoft Exchange Server 2019、2016、および 2013 のセキュリティ更新プログラム KB5019758の ProxyNotShell 脆弱性を修正しました。

他社からの最近のアップデート

2022 年 11 月に更新プログラムをリリースしたその他のベンダーは次のとおりです。

• Appleは、多数のセキュリティ アップデートを含むXcode 14.1 をリリースしました。
• シスコは今月、多数の製品のセキュリティ アップデートをリリースしました。
• Citrixは、Citrix ADA および Gateway のクリティカル認証バイパスのセキュリティ更新プログラムをリリースしました。
• GoogleはAndroid の 11 月のセキュリティ アップデートをリリースしました。
• OpenSSLは、CVE-2022-3602 および CVE-2022-3786 のセキュリティ更新プログラムをリリースしました。
• SAPは、 2022 年 11 月のパッチ デイアップデートをリリースしました。

2022 年 11 月の月例パッチのセキュリティ更新プログラム

以下は、2022 年 11 月の月例パッチ更新で解決された脆弱性とリリースされたアドバイザリの完全なリストです。各脆弱性とその影響を受けるシステムの完全な説明にアクセスするには、 ここで完全なレポートを表示できます。