Microsoft、2024年7月の月例更新 - 139件の脆弱性への対応が行われる

マイクロソフトは、2024年7月9日（米国時間）、2024年7月のセキュリティ更新プログラム（月例パッチ）を公開した。該当するソフトウェアはCVEベースで139件である。（）内は対応するCVEである。

SQL Server（CVE-2024-20701）
SQL Server（CVE-2024-21303）
SQL Server（CVE-2024-21308）
SQL Server（CVE-2024-21317）
SQL Server（CVE-2024-21331）
SQL Server（CVE-2024-21332）
SQL Server（CVE-2024-21333）
SQL Server（CVE-2024-21335）
SQL Server（CVE-2024-21373）
SQL Server（CVE-2024-21398）
SQL Server（CVE-2024-21414）
SQL Server（CVE-2024-21415）
Windows CoreMessaging（CVE-2024-21417）
SQL Server（CVE-2024-21425）
SQL Server（CVE-2024-21428）
SQL Server（CVE-2024-21449）
Windowsセキュアブート（CVE-2024-26184）
Windowsセキュアブート（CVE-2024-28899）
SQL Server（CVE-2024-28928）
Windows MultiPoint Services（CVE-2024-30013）
Microsoft Dynamics（CVE-2024-30061）
Windows Remote Access Connection Manager（CVE-2024-30071）
Windows Remote Access Connection Manager（CVE-2024-30079）
Windows NTLM（CVE-2024-30081）
Windows Cryptographicサービス（CVE-2024-30098）
.NETとVisual Studio（CVE-2024-30105）
Microsoft Office SharePoint（CVE-2024-32987）
SQL Server（CVE-2024-35256）
Azure Network Watcher（CVE-2024-35261）
.NETとVisual Studio（CVE-2024-35264）
Azure DevOps（CVE-2024-35266）
Azure DevOps（CVE-2024-35267）
Windows iSCSI（CVE-2024-35270）
SQL Server（CVE-2024-35271）
SQL Server（CVE-2024-35272）
SQL Server（CVE-2024-37318）
SQL Server（CVE-2024-37319）
SQL Server（CVE-2024-37320）
SQL Server（CVE-2024-37321）
SQL Server（CVE-2024-37322）
SQL Server（CVE-2024-37323）
SQL Server（CVE-2024-37324）
SQL Server（CVE-2024-37326）
SQL Server（CVE-2024-37327）
SQL Server（CVE-2024-37328）
SQL Server（CVE-2024-37329）
SQL Server（CVE-2024-37330）
SQL Server（CVE-2024-37331）
SQL Server（CVE-2024-37332）
SQL Server（CVE-2024-37333）
SQL Server（CVE-2024-37334）
SQL Server（CVE-2024-37336）
Windowsセキュアブート（CVE-2024-37969）
Windowsセキュアブート（CVE-2024-37970）
Windowsセキュアブート（CVE-2024-37971）
Windowsセキュアブート（CVE-2024-37972）
Windowsセキュアブート（CVE-2024-37973）
Windowsセキュアブート（CVE-2024-37974）
Windowsセキュアブート（CVE-2024-37975）
Windowsセキュアブート（CVE-2024-37977）
Windowsセキュアブート（CVE-2024-37978）
Windowsセキュアブート（CVE-2024-37981）
Windowsセキュアブート（CVE-2024-37984）
Windowsセキュアブート（CVE-2024-37986）
Windowsセキュアブート（CVE-2024-37987）
Windowsセキュアブート（CVE-2024-37988）
Windowsセキュアブート（CVE-2024-37989）
Windowsセキュアブート（CVE-2024-38010）
Windowsセキュアブート（CVE-2024-38011）
Windows Serverバックアップ（CVE-2024-38013）
Windowsリモートデスクトップ（CVE-2024-38015）
Windowsメッセージキュー（CVE-2024-38017）
Windowsパフォーマンスモニター（CVE-2024-38019）
Microsoft Office Outlook（CVE-2024-38020）
Microsoft Office（CVE-2024-38021）
Windows Image Acquisition（CVE-2024-38022）
Microsoft Office SharePoint（CVE-2024-38023）
Microsoft Office SharePoint（CVE-2024-38024）
Windowsパフォーマンスモニター（CVE-2024-38025）
ラインプリンターデーモン（LPD）サービス（CVE-2024-38027）
Windows パフォーマンスモニター（CVE-2024-38028）
Windows Themes（CVE-2024-38030）
Windowsオンライン証明書状態プロトコル (OCSP)（CVE-2024-38031）
XBox Crypto Graphic Services（CVE-2024-38032）
Windows PowerShell（CVE-2024-38033）
Windowsフィルタリング（CVE-2024-38034）
Windowsカーネル（CVE-2024-38041）
Windows PowerShell（CVE-2024-38043）
Windows DHCPサーバー（CVE-2024-38044）
Windows PowerShell（CVE-2024-38047）
NDIS（CVE-2024-38048）
Microsoft分散トランザクションコーディネーター（CVE-2024-38049）
Windows ワークステーションサービス（CVE-2024-38050）
Microsoft Graphicsコンポーネント（CVE-2024-38051）
Microsoft Stream サービス（CVE-2024-38052）
Windows インターネット接続の共有 (ICS)（CVE-2024-38053）
Microsoft Streamサービス（CVE-2024-38054）
Microsoft Windows Codecs Library（CVE-2024-38055）
Microsoft Windows Codecs Library（CVE-2024-38056）
Microsoft Streamサービス（CVE-2024-38057）
Windows BitLocker（CVE-2024-38058）
Windows Win32K - ICOMP（CVE-2024-38059）
Microsoft Windows Codecs Library（CVE-2024-38060）
ロール: Active Directory証明書サービス、Active Directoryドメインサービス（CVE-2024-38061）
Windowsカーネルモードドライバー（CVE-2024-38062）
Windows TCP/IP（CVE-2024-38064）
Windowsセキュアブート（CVE-2024-38065）
Windows Win32K: GRFX（CVE-2024-38066）
Windowsオンライン証明書状態プロトコル (OCSP)（CVE-2024-38067）
Windowsオンライン証明書状態プロトコル (OCSP)（CVE-2024-38068）
Windows登録エンジン（CVE-2024-38069）
Windows LockDown Policy (WLDP)（CVE-2024-38070）
Microsoftリモートデスクトップライセンスサービス（CVE-2024-38071）
Microsoftリモートデスクトップライセンスサービス（CVE-2024-38072）
Microsoftリモートデスクトップライセンスサービス（CVE-2024-38073）
Microsoftリモートデスクトップライセンスサービス（CVE-2024-38074）
Active Directoryフェデレーションサービス（CVE-2024-38075）
Windowsリモートデスクトップ（CVE-2024-38076）
Microsoftリモートデスクトップライセンスサービス（CVE-2024-38077）
XBox Crypto Graphic Services（CVE-2024-38078）
Microsoft Graphicsコンポーネント（CVE-2024-38079）
ロール: Windows Hyper-V（CVE-2024-38080）
.NETとVisual Studio（CVE-2024-38081）
Windows Win32カーネルサブシステム（CVE-2024-38085）
Azure Kinect SDK（CVE-2024-38086）
SQL Server（CVE-2024-38087）
SQL Server（CVE-2024-38088）
Microsoft Defender for IoT（CVE-2024-38089）
Microsoft WS-Discovery（CVE-2024-38091）
Azure CycleCloud（CVE-2024-38092）
Microsoft Office SharePoint（CVE-2024-38094）
.NETとVisual Studio（CVE-2024-38095）
Microsoftリモートデスクトップライセンスサービス（CVE-2024-38099）
Windows COMセッション（CVE-2024-38100）
Windowsインターネット接続の共有 (ICS)（CVE-2024-38101）
Windowsインターネット接続の共有 (ICS)（CVE-2024-38102）
Windows Faxとスキャンサービス（CVE-2024-38104）
Windowsインターネット接続の共有 (ICS)（CVE-2024-38105）
Windows MSHTML Platform（CVE-2024-38112）

図1 2024年7月のセキュリティ更新プログラム（月例パッチ）が公開された

マイクロソフトでは、セキュリティ更新プログラム、セキュリティアドバイザリに関する注意点として、以下をあげる。

今月のセキュリティ更新プログラムで修正した脆弱性のうち、以下の脆弱性は更新プログラムが公開されるよりも前に悪用や脆弱性の詳細が一般へ公開されていることを確認している。ユーザーにおいては、更新プログラムの適用を早急に行ってほしい。脆弱性の詳細は、各CVEのページを参照してほしい。
- CVE-2024-37985 Arm: CVE-2024-37985 Systematic Identification and Characterization of Proprietary Prefetchers
- CVE-2024-35264 .NETとVisual Studioのリモートコードが実行される脆弱性
- CVE-2024-38112 Windows MSHTML Platform Spoofing Vulnerability
- CVE-2024-38080 Windows Hyper-Vの特権の昇格の脆弱性
今月のセキュリティ更新プログラムで修正した脆弱性のうち、以下の脆弱性は、CVSS 基本値が9.8と高いスコアで、認証やユーザーの操作なしで悪用が可能な脆弱性である。これらの脆弱性が存在する製品、および悪用が可能となる条件については、各CVEのページの「よく寄せられる質問」を参照してほしい。セキュリティ更新プログラムが公開されるよりも前に、脆弱性の情報の一般への公開、脆弱性の悪用はないが、脆弱性の特性を鑑み、企業組織では早急なリスク評価とセキュリティ更新プログラムの適用を推奨している。
- CVE-2024-38076 / CVE-2024-38074 / CVE-2024-38077 Windowsリモートデスクトップライセンスサービスのリモートコード実行に対する脆弱性
セキュリティ更新プログラムにおける既知の問題は、各セキュリティ更新プログラムのサポート技術情報を参照してほしい。既知の問題が確認されている各セキュリティ更新プログラムのサポート技術情報一覧は、2024年7月セキュリティ更新プログラムリリースノートに掲載されている。

新たに確認した脆弱性に対応した新しいセキュリティ更新プログラムは、以下の通り。

Windows 11 v23H2、v22H2、v21H2

緊急（リモートでコードの実行が可能）

v23H2、v22H2：KB5040442
v21H2：KB5040431

Windows 11 v22H2、v23H2の更新プログラムであるKB5040442のハイライトの一部は

タスクバー（既知の問題）KB5039302をインストールした後、タスクバーを表示または操作できない場合がある。この問題は、Windows Nエディションを実行するデバイスで発生する。このエディションは他のエディションに似ているが、ほとんどのメディア関連ツールが存在しない。この問題は、コントロールパネルから［メディア機能］をオフにした場合にも発生する。

である。

Windows 10 v22H2、v21H2

緊急（リモートでコードの実行が可能）

KB5040427

Windows Server 2022、23H2（Server Core installationを含む）

緊急（リモートでコードの実行が可能）

Windows Server 2022：KB5040437
Windows Server 23H2：KB5040438

Windows Server 2019、2016（Server Core installationを含む）

緊急（リモートでコードの実行が可能）

Windows Server 2019：KB5040430
Windows Server 2016：KB5040434

Microsoft Office

重要（リモートでコードの実行が可能）

セキュリティ更新プログラムの詳細については、https://learn.microsoft.com/ja-jp/officeupdates/ を参照してほしい。

Microsoft SharePoint

緊急（リモートでコードが実行される）

セキュリティ更新プログラムの詳細については、https://learn.microsoft.com/officeupdates/sharepoint-updates を参照してほしい。

Microsoft .NET、.NET Framework

重要（リモートでコードの実行が可能）

セキュリティ更新プログラムの詳細については、https://learn.microsoft.com/dotnet を参照してほしい。

Microsoft Visual Studio

重要（リモートでコードの実行が可能）

セキュリティ更新プログラムの詳細については、https://learn.microsoft.com/visualstudio を参照してほしい。

Microsoft Dynamics 365

重要（情報漏えい）

セキュリティ更新プログラムの詳細については、https://learn.microsoft.com/dynamics365 を参照してほしい。

Microsoft SQL Server

重要（リモートでコードの実行が可能）

セキュリティ更新プログラムの詳細については、https://learn.microsoft.com/sql を参照してほしい。

Azure DevOps Server

重要（なりすまし）

セキュリティ更新プログラムの詳細については、https://learn.microsoft.com/azure/devops を参照してほしい。