残念ながら、この記事の111は2進数ではなく、10進数です。これは、マイクロソフトが今週リリースしたセキュリティ修正の数です。

パッチ火曜日今週は5月版のパッチ火曜日がリリースされました。多数のセキュリティ修正プログラムがインストール可能です。

マイクロソフトは合計111件の修正プログラムをリリースしましたが、幸いなことに、私たちの知る限り、実際に悪用されている脆弱性は存在しません。16件はマイクロソフトの最高評価である「緊急」と評価されており、リモートコード実行から権限昇格まで多岐にわたります。

プログラミング上の重大なミスの一つは、CVE-2020-1067です。これは、サポートされているすべてのバージョンのWindowsに存在するリモートコード実行（RCE）の脆弱性です。ドメインユーザーアカウントを持つユーザーは誰でも、この脆弱性を悪用して標的のシステムへのアクセス権を昇格できます。ただし、この脆弱性は重要度が高いため、脅威の実態が隠されていると言えるでしょう。

「このパッチは、Windows OSのリモートコード実行（RCE）バグを修正します。このバグにより、攻撃者は影響を受けるシステム上で昇格された権限で任意のコードを実行できる可能性があります」と、トレンドマイクロのZDI担当ダスティン・チャイルズ氏は述べています。「このバグが深刻でない唯一の理由は、攻撃者が細工したリクエストを成功させるにはドメインユーザーアカウントが必要であるという事実です。そのため、このバグは内部脅威だけでなく、標的の企業への足掛かりを広げようとする侵入テスターに​​とって格好の標的となっています。」

Microsoftのウェブブラウザエンジン、SharePoint、スクリプトインタープリタ、Visual Studioには、膨大な数の脆弱性が存在し、ZDIはここでそれらをまとめています。Windowsカーネルにおける権限昇格の脆弱性など、それほど重要ではない脆弱性も含まれています。これらの脆弱性は、悪意を持って作成されたファイルを開くことで、あるいはPC上で既に実行されているマルウェアによって悪用される可能性のある脆弱性に集約されます。

「ほとんどはウェブブラウザ、あるいは何らかの形でブラウズ＆ダウンロードのシナリオに関連しています」とチャイルズ氏は指摘する。「Chakra Core、IE、EdgeHTMLはすべて緊急レベルのアップデートを受けています。」

修正されるバグは、リリース時点では公知または攻撃を受けているものとしてリストされていません。これにより、Microsoftは3ヶ月連続で110件以上の脆弱性に対するパッチをリリースしたことになります。このペースが今年も維持されるかどうか、注目されます。

さらに興味深い脆弱性をいくつか掘り下げて見てみると、TLS 1.2 を処理するクライアントとサーバーにおけるサービス拒否の脆弱性である CVE-2020-1118、Visual Studio Code Python 拡張機能におけるリモート コード実行の脆弱性である CVE-2020-1192、Sharepoint におけるリモート コード実行の脆弱性である CVE-2020-1023、CVE-2020-1024、CVE-2020-1102、および CVE-2020-1069、すべて Sharepoint におけるリモート コード実行の脆弱性である CVE-2020-1093、VBScript におけるリモート コード実行の脆弱性である CVE-2020-1153、Microsoft グラフィックス コンポーネントにおけるリモート コード実行の脆弱性である CVE-2020-1153 があります。

誰かがこれらの脆弱性を悪用して武器化する前に、必要に応じて修正プログラムをダウンロードし、テストし、展開するようにしてください。

Windows 7の問題

Windows 7をまだお使いの方、そしてMicrosoftに高額なサポート料金を支払っている方でも、.NETセキュリティおよび品質更新プログラムであるKB4556399に関する問題にご注意ください。設定によっては、インストールに失敗する可能性があります。

Adobe について: 多数の CVE に対する 2 つの重要な修正

Adobeは今月、AcrobatとReaderで36件のバグを修正しました。また、ドキュメントを開くことで悪用される、おなじみのコード実行およびサービス拒否攻撃の脆弱性も修正しました。今回のパッチはmacOSとWindowsのみを対象としているため、Linuxユーザーは影響を受けません。

SAP、VMwareの重大な欠陥

一方、SAP 管理者は、CVE-2020-6262、CVE-2020-6248、CVE-2020-6243 (コードインジェクション)、ノート 2622660 (Chromium の更新)、CVE-2020-6242 (認証チェックの欠落)、CVE-2020-6219 (信頼できないデータのデシリアル化) など、多数のバグに対処する必要があります。

VMware は、認証バイパスとディレクトリ トラバーサルの脆弱性である CVE-2020-11651 および CVE-2020-11652 の修正もリリースしました。®