米国土安全保障省サイバーセキュリティ・インフラストラクチャーセキュリティ庁(CISA: Cybersecurity and Infrastructure Security Agency)は2月13日(米国時間)、「Microsoft Releases Security Updates for Multiple Products｜CISA」において、Windowsなど複数のMicrosoft製品に複数の脆弱性が存在するとして、注意を喚起した。これら脆弱性を悪用されると、遠隔から攻撃者によって影響を受けたシステムの制御権が乗っ取られる危険性がある。
脆弱性に関する情報
脆弱性に関する情報は次のページにまとまっている。
- 2024 年 2 月のセキュリティ更新プログラム - リリース ノート - セキュリティ更新プログラム ガイド - Microsoft
- Security Update Guide - Microsoft
-
Security Update Guide - Microsoft
脆弱性が存在するとされるプロダクト
脆弱性が存在するとされるプロダクトは次のとおり。
- .NET
- Android 用 Microsoft Teams
- Azure Active Directory
- Azure Connected Machine エージェント
- Azure DevOps
- Azure File Sync
- Azure Site Recovery
- Azure Stack
- Microsoft ActiveX
- Microsoft Azure Kubernetes Service
- Microsoft Defender for Endpoint
- Microsoft Dynamics
- Microsoft Edge (Chromium ベース)
- Microsoft Exchange Server
- Microsoft Office
- Microsoft Office OneNote
- Microsoft Office Outlook
- Microsoft Office Word
- Microsoft WDAC ODBC ドライバー
- Microsoft Windows
- Microsoft Windows DNS
- Skype for Business
- SQL Server
- SQL 用 Microsoft WDAC OLE DB プロバイダー
- Windows Hyper-V
- Windows LDAP
- Windows OLE
- Windows SmartScreen
- Windows USB シリアル ドライバー
- Windows Win32K - ICOMP
- Windows インターネット接続の共有 (ICS)
- Windows カーネル
- Windows メッセージ キュー
- インターネット ショートカット ファイル
- トラステッド コンピューティング ベース
- ロール: DNS サーバー
セキュリティアップデートの対象となる製品は多岐にわたる上、一部の脆弱性は深刻度が緊急（Critical）に分類されており注意が必要。
速やかにアップデートを
CISAは、ユーザーおよび管理者に対し、上記のセキュリティ情報をチェックするとともに、必要に応じてアップデートを適用することを推奨している。
なおCISAは、上記累積更新プログラムが修正している次の2つの脆弱性に関して「Known Exploited Vulnerabilities Catalog」への追加を行っている。これはこの2つの脆弱性の悪用が確認されていることを意味しており、迅速に対応することを必要性を示している(参考「CISA Adds Two Known Exploited Vulnerabilities to Catalog | CISA」)。
- CVE-2024-21412 - Microsoft Windowsインターネットショートカットファイルにおけるセキュリティ機能バイパスの脆弱性
- CVE-2024-21351 - Microsoft Windows SmartScreenにおけるセキュリティ機能バイパスの脆弱性
MicrosoftはWindows Updateなどを通じて修正プログラムの配信を開始している。該当する製品を使用している場合は、内容を確認するとともに迅速にアップデートを適用することが望まれる。
