マイクロソフトの 2022 年 10 月の月例パッチで、攻撃に使用されたゼロデイ、84 の欠陥が修正されます

.crit {
font-weight:bold;
color:red;
}
.article_section td {
font-size: 14px!important;
}

今日は Microsoft の 2022 年 10 月のパッチ チューズデーで、活発に悪用されている Windows の脆弱性と合計 84 の欠陥に対する修正が含まれています。

本日のアップデートで修正された 84 の脆弱性のうち 13 は、最も深刻なタイプの脆弱性の 1 つである、権限の昇格、なりすまし、またはリモート コード実行を可能にするため、「重大」に分類されます。

各脆弱性カテゴリのバグ数は次のとおりです。

• 39 権限昇格の脆弱性
• 2 セキュリティ機能バイパスの脆弱性
• 20 リモートでコードが実行される脆弱性
• 11 情報漏えいの脆弱性
• 8 サービス拒否の脆弱性
• 4 なりすましの脆弱性

上記の数には、10 月 3 日に Microsoft Edge で修正された 12 件の脆弱性は含まれていません。

2 つのゼロデイが修正され、1 つが積極的に悪用されました

今月のパッチ チューズデーでは、公開されている 2 つのゼロデイ脆弱性が修正されています。

Microsoft は、脆弱性が一般に公開されているか、公式の修正プログラムがない状態で積極的に悪用されている場合、その脆弱性をゼロデイとして分類します。

本日修正された活発に悪用されているゼロデイ脆弱性は、「 CVE-2022-41033 – Windows COM+ イベント システム サービスの特権の昇格の脆弱性」として追跡されています。

「この脆弱性の悪用に成功した攻撃者は、SYSTEM 権限を取得する可能性があります」と Microsoft のアドバイザリを読みます。

悪用された脆弱性は、「匿名」の研究者によって発見されたものとしてリストされています。

公開された脆弱性は「 CVE-2022-41043 – Microsoft Office Information Disclosure Vulnerability」として追跡されており、SpecterOps のCody Thomas氏によって発見されました。

Microsoft は、攻撃者がこの脆弱性を利用して、ユーザーの認証トークンにアクセスできる可能性があると述べています。

Microsoft Exchange のゼロデイは修正されていません

残念ながら、Microsoft は、CVE-2022-41040 および CVE-2022-41082 として追跡され、ProxyNotShell とも呼ばれる、 活発に悪用されている 2 つのゼロデイ脆弱性に対するセキュリティ更新プログラムをリリースしていません。

これらの脆弱性は、攻撃を最初に発見して報告したベトナムのサイバーセキュリティ組織である GTSC によって 9 月下旬に公開されました。

これらの脆弱性は、Trend Micro の Zero Day Initiative を通じて Microsoft に公開され、本日修正される予定でした。

ただし、今日の Microsoft Exchange セキュリティ速報には、修正プログラムの準備ができていないと記載されています。

「2022 年 10 月の SU には、2022 年 9 月 29 日に一般に報告されたゼロデイ脆弱性 (CVE-2022-41040 および CVE-2022-41082) に対する修正は含まれていません」と、Microsoft Exchange の速報に記載されています。

「これらの脆弱性に対する緩和策を適用するには、このブログ投稿を参照してください。準備が整い次第、CVE-2022-41040 および CVE-2022-41082 の更新プログラムをリリースします。」

他社からの最近のアップデート

2022 年 10 月に更新プログラムをリリースしたその他のベンダーは次のとおりです。

• Appleは iOS 16.0.3 をリリースし、メール サービス拒否の脆弱性を修正しました。
• シスコは今月、多数の製品のセキュリティ アップデートをリリースしました。
• フォーティネットは、 活発に悪用されている認証バイパスの脆弱性に対するセキュリティ アップデートをリリースしました。
• GoogleはAndroid の 10 月のセキュリティ アップデートをリリースしました。
• SAPは、 2022 年 10 月のパッチ デイアップデートをリリースしました。
• VMwareは、VMware ESXi および vCenter Server の脆弱性に対するセキュリティ アップデートをリリースしました。

2022 年 10 月の月例セキュリティ更新プログラム

以下は、2022 年 10 月の月例パッチ更新で解決された脆弱性とリリースされたアドバイザリの完全なリストです。各脆弱性とその影響を受けるシステムの完全な説明にアクセスするには、 ここで完全なレポートを表示できます。