2025年5月のPatch Tuesday ｜ブログ(ほぼこもセキュリティニュース)

2025年5月13日はPatch Tuesdayでした。
毎月多数の修正内容が提供されますが、今月も多くの問題が修正されています。

重大度別に件数をみると次の内容でした。

重大な脆弱性: 11
重要な脆弱性: 66
低重大度の脆弱性: 1

内容的に見ると、その内容の深刻さが想像できます。

リモートコード実行につながる可能性があるもの：28件
権限昇格につながる可能性があるもの：21件
情報漏洩につながる可能性があるもの：16件

すでに悪用が確認されているものも含まれています。

CVE-2025-30397 – スクリプトエンジンのメモリ破損脆弱性
- 深刻度
  重要（CVSSスコア：7.5）
- 内容
  この脆弱性は、Internet ExplorerやMicrosoft EdgeのInternet Explorerモードで利用されるコンポーネント（Microsoft Scripting Engine）に存在します。
  攻撃者は、スクリプトエンジンがオブジェクトタイプを誤って解釈し、メモリ破損を引き起こすような悪意のあるWebページまたはスクリプトを作成することで、この脆弱性を悪用する可能性があります。
  この脆弱性が悪用されると、現在のユーザのコンテキスト内で任意のコードが実行される可能性があります。
  ユーザが管理者権限を持っている場合、攻撃者はシステムを完全に制御し、データの窃取、マルウェアのインストール、ネットワークを介したラテラルムーブメント（横方向の移動）を行う可能性があります。
CVE-2025-30400 – Microsoft デスクトップウィンドウマネージャー (DWM) コアライブラリにおける権限昇格の脆弱性
- 深刻度
  重要 (CVSS スコア: 7.8)
- 内容
  これは、実際に悪用された権限昇格の脆弱性です。
  この脆弱性により、攻撃者は侵害を受けたシステム上で権限を昇格させ、影響を受けるマシンを完全に制御できる可能性があります。
CVE-2025-32701 – Windows 共通ログファイルシステム (CLFS) ドライバーの権限昇格の脆弱性
- 重大度
  重要 (CVSS スコア: 7.8)
- 内容
  これは、実際の攻撃で悪用されたCLFSコンポーネントで発見された権限昇格の脆弱性です。
  この脆弱性を悪用すると、攻撃者は昇格された権限を取得し、侵害されたシステム上でさらに悪意のある活動を容易に行うことができます。
CVE-2025-32706 – Windows 共通ログファイルシステムドライバにおける権限昇格の脆弱性
- 深刻度
  重要（CVSSスコア：7.8）
- 内容
  CVE-2025-32701と同様に、この脆弱性はCLFSコンポーネントに影響し、積極的に悪用されています。
  攻撃者はこの脆弱性を悪用することで権限を昇格することができ、影響を受けるシステムに重大なリスクをもたらします。
CVE-2025-32709 – WinSock用Windows補助機能ドライバにおける権限昇格の脆弱性
- 深刻度
  重要（CVSSスコア：7.8）
- 内容
  WinSock用Windows補助機能ドライバに存在するこの脆弱性により、攻撃者は侵害を受けたシステム上で権限を昇格することが可能になります。

リモートコード実行や権限昇格、どれもとても危険な感じがします。
これらのパッチには提供された時点で、すでに悪用が確認されているものが含まれています。
パッチ適用で先回りすることはできませんが、せっかく提供されているものを利用していなかった関係で被害者となってしまうことは、非常に残念です。
健全な運用で安全を守っていきたいものです。