日本マイクロソフトは13日、毎月定例で提供している月例のセキュリティ更新プログラム(月例パッチ)の8月分を公開した。9件の脆弱性情報が公開され、深刻度がもっとも高い「緊急」が2件、2番目に高い「重要」が7件となっている。
一部はすでにインターネット上に脆弱性情報が公開されており、非公開ながら悪用が確認された脆弱性もあったという。緊急の脆弱性は早急なアップデートが推奨されている。
Internet Explorer 用の累積的なセキュリティ更新プログラム (2976627)(MS14-051)
MS14-051は、Internet Explorerに含まれる26件の脆弱性に関する情報で、このうち1件はすでに脆弱性情報が公開されており、1件は非公開ながら悪用が確認されている。
公開、悪用されていた脆弱性は、いずれも特権の昇格の脆弱性。特権が昇格することで別の脆弱性を悪用して任意のコードが実行される危険性がある。今回の脆弱性では、特定の条件下で許可を適切に検証しないため特権が昇格し、スクリプトが昇格された特権で実行される可能性がある。
それ以外の24件は、いずれもメモリ破損の脆弱性で、IEがメモリ内のオブジェクトに不適切にアクセスし、リモートでコードが実行される危険性がある。特権の昇格と組み合わせることで、対象となるPCの制御が完全に奪取される可能性が存在する。
対象となるのはInternet Explorer 6/7/8/9/10/11で、IE6はWindows Server 2013上のみアップデートが提供される。最大深刻度は全体で「緊急」、悪用可能性指標は「0」、適用優先度は「1」となっている。なお、悪用可能性指標の定義が変更されており、判断基準は従来の「悪用コードが作成されるかどうか」ではなく、「悪用されるかどうか」に変更された。また、すでに悪用が確認されたものに関しては「0」が設定されるようになっている。
Windows Media Center の脆弱性により、リモートでコードが実行される (2978742)(MS14-043)
MS14-043は、Windowsに含まれるMedia Centerに含まれる脆弱性で、特別に細工されたOfficeファイルを開くとMedia Centerリソースが呼び出され、CSyncBasePlayerオブジェクトが解放された後にMCPlayer.dllが適切にリソースをクリーンナップできない場合に、リモートでコードが実行される危険性がある。
対象となるのは、Windows Media Center TV Pack for Windows Vista、Windows 7/8/8.1。最大深刻度は「緊急」、悪用可能性指標は「2」、適用優先度は「1」となっている。
緊急度「重要」の脆弱性
これに加え、緊急度「重要」の脆弱性が7件公開されている。
・OneNote の脆弱性により、リモートでコードが実行される (2977201)(MS14-048)は、OneNoteが特別に細工されたファイルを適切に処理できずにリモートでコードが実行されるというもの。対象となるのはOneNote 2007 SP3。悪用可能性指標は「2」、適用優先度は「1」。
・SQL Server の脆弱性により、特権が昇格される (2984340)(MS14-044)は、SQL Serverに2件の脆弱性が存在。1件はXSSによってなりすましや情報漏えいなどの危険性があり、もう1件はスタックオーバーランによるサービス拒否の脆弱性。対象となるのはMicrosoft SQL Server 2008/2008 R2/2012/2014で、2014はx64エディションのみが影響を受ける。悪用可能性指標は「2」または「3」、適用優先度は「3」。
・カーネルモード ドライバーの脆弱性により、特権が昇格される (2984615)(MS14-045)は、Windowsカーネルモードドライバに3件の脆弱性が存在。特権の昇格、情報の漏えいが起こる可能性がある。対象となるのはWindows Vista/7/8/8.1/RT/RT 8.1、Server 2003/2008/2008 R2/2012/2012 R2。悪用可能性指標は「2」または「3」、適用優先度は「2」。
・Windows Installer サービスの脆弱性により、特権が昇格される (2962490)(MS14-049)は、すでにインストールされているアプリケーションの修復をWindows Installerサービス正しく処理しないため、特権が昇格する危険性があるというもの。対象となるのはWindows Vista/7/8/8.1/RT/RT 8.1、Server 2003/2008/2008 R2/2012/2012 R2。悪用可能性指標は「2」、適用優先度は「3」。
・Microsoft SharePoint Server の脆弱性により、特権が昇格される (2977202)(MS14-050)は、SharePointでJavaScriptを実行する特別に細工されたアプリを適切に処理されないため、特権が昇格し、任意のコードを実行される危険性があるというもの。サニタイズ方法が修正されるため、一部のアプリで動作が停止するか、インストールが正常に行われない可能性があるという。対象となるのはMicrosoft SharePoint Server 2013/Foundation 2013。悪用可能性指標は「2」、適用優先度は「3」。
・.NET Framework の脆弱性により、セキュリティ機能のバイパスが起こる (2984625)(MS14-046)は、セキュリティ機能であるAddress Space Layout Randomization(ASLR)がバイパスされるというもの。別の脆弱性と組み合わせることで、任意のコードが実行される危険性がある。対象となるのはMicrosoft .NET Framework 2.0/3.0/3.5/3.5.1。悪用可能性指標は「2」、適用優先度は「2」。
・LRPC の脆弱性により、セキュリティ機能のバイパスが起こる (2978668)(MS14-047)は、Windowsのリモート プロシージャ コール(LRPC)に脆弱性が存在し、Address Space Layout Randomization(ASLR)がバイパスされ、任意のコードが実行される危険性がある。対象となるのはWindows 7/8/8.1/RT/RT 8.1、Server 2008/2008 R2/2012/2012 R2。悪用可能性指標は「3」、適用優先度は「2」。
