今月もこの日が来ました。
Microsoft Patch Tuesdayです。
毎月第2火曜日(米国時間なので、日本では毎月第2水曜日)は、マイクロソフトがWindows Updateを配信する日になっています。
WindowsのOS部分の累積更新プログラムや、Microsoft Officeのセキュリティ更新プログラムがまとめてリリースされます。
今月は55個の脆弱性が修正されています。
これは例年の11月と比較すると多い数ではありませんが、今回は内容が濃いものとなっています。
分類でいうと、55個のうちの6個がSeverityがcriticalで、残りの49個がimportantとなっています。
特に濃いもののいくつかを確認してみましょう。
- CVE-2021-42321
Microsoft ExchangeServerのリモートコード実行の脆弱性。
PowerShellのなかのコマンドであるcommand-letの引数の検証に関する問題です。
攻撃の複雑さが低い、危険な脆弱性となっています。
ただし、この脆弱性を悪用する前提条件に、認証済みであることというものがあるため、限定的な場面での脆弱性といえそうです。
Microsoft Exchange
Serverに関連するこの種の問題は、以前も紹介しましたようにProxyLogonやProxyShellもありましたし、注意が必要です。 - CVE-2021-42292
Microsoft Excelのセキュリティ機能バイパスの脆弱性。
特別に細工されたファイルを開くときにコードの実行をそのまま許可してしまう可能性がある問題です。
この問題は、WindowsコンピューターとmacOSコンピューターの両方が対象です。
Windows向けOfficeに対するパッチは今回提供されていますが、macOS向けはまだリリースされていません。
これらの他にも危険なものがいくつかあります。
- CVE-2021-42298
Microsoft Defenderのリモートコード実行の脆弱性。 - CVE-2021-38666
リモートデスクトップクライアントのリモートコード実行の脆弱性。 - CVE-2021-38631、CVE-2021-41371
Microsoftリモートデスクトッププロトコル(RDP)の情報開示の脆弱性。
こんな危険なものをそのまま放置しておくことはできません。
この記事を書きながら、すでに手元のWindowsパソコンのWindows Updateは完了しました。
できることはできるうちになるべく素早く実施する、という感じで行ければいいと思います。
参考記事(外部リンク):Microsoft Nov. Patch Tuesday Fixes Six Zero-Days, 55 Bugs
threatpost.com/microsoft-nov-patch-tuesday-fixes-six-zero-days-55-bugs/176143/
この記事をシェア |
---|
一緒によく読まれている記事
-
サイバー領域
- GitGuardianのBlog翻訳:トヨタ、GitHubでシークレットキーを誤って公開し、データ流出被害に
- 10月7日、トヨタは同社が提供するサービス「T-Connect」のソースコードのコピーが5年にわたって外部から参照できる状態にあったことを発表。ソースコードには、29万件を超える...
-
サイバー領域
- BitSightのサードパーティサービス:
サードパーティがもたらすサイバーリスクと
自社をセキュリティ保護する方法 - この記事はBitSight社のブログを翻訳したものです。 原題:Third Party Services: The Cyber Risk They Pose and How to...
- BitSightのサードパーティサービス: