Microsoft は月例セキュリティ更新プログラムをリリースし、CVE リストに記載されているセキュリティ脆弱性合計 51 件に対処しました。
6 月の Patch Tuesday には、最近公開された Spectre Variant 4 チップ設計の欠陥に対する Microsoft のソリューションを含む、Windows の重大な脆弱性に対する 11 件の修正が含まれています。
今月修正された最も深刻なバグの一つは、Windows DNSAPIに存在するリモートコード実行の脆弱性であるCVE-2018-8225です。Microsoftによると、この脆弱性により、攻撃者は不正なDNSリクエストを送信するだけで、標的のシステム（WindowsまたはWindows Server）を乗っ取ることができるとのことです。
「このような攻撃にはいくつかの方法があります。攻撃者は正当なクエリを中間者攻撃で不正アクセスしようとする可能性があります。より可能性の高いシナリオは、標的のDNSサーバーを騙して、不正な応答を送信する悪意のあるサーバーにクエリを実行させることです。これはコマンドラインから実行できます」と、トレンドマイクロZDIのダスティン・チャイルズ氏は説明した。
「これは簡単にスクリプト化できるものでもあります。つまり、重要なインフラサーバーのリスニングサービスにシステムレベルのバグがあり、ワーム化可能であることを意味します。」
チャイルズ氏はまた、管理者に対し、Http.sysのリモートコード実行バグであるCVE-2018-8231の修正を優先するよう推奨しています。DNSの脆弱性と同様に、この脆弱性を悪用すると、不正なパケット（この場合はHTTP）によってサーバーがリモートから乗っ取られる可能性があります。
幽霊は今もなお
先月公開された4つ目のSpectre亜種への対応として、Microsoftはセキュリティ修正プログラムに投機的ストアバイパスを無効化するアップデートを公開しました。ただし、これで修正が完全に完了するわけではありません。脆弱性を完全に解消するには、IntelとAMDがそれぞれ独自のマイクロコードアップデートを公開する必要があります。
その他の重要なパッチには、Windowsスクリプトエンジンのメモリ破損の脆弱性を突いたリモートコード実行を許すCVE-2018-8267が含まれます。この脆弱性はIEまたはOfficeファイルを介して悪用可能であり、既にエクスプロイトコードが公開されています。
パッチのうち 3 つ (CVE-2018-8110、CVE-2018-8111、CVE-2018-8236) は、Edge のリモート コード実行のホールに対処し、IE の 2 つのリモート コード実行バグ (CVE-2018-8249 および CVE-2018-0978) も修正されました。
Edge の Chakara スクリプト エンジンに、独自のリモート コード実行の脆弱性が 2 つ (CVE-2018-8229 と CVE-2018-8227) あることが判明しました。
SMB 1.0 を使用する必要がありますか？ Windows 10 April 2018 Update では「NO」と表示されます
続きを読む
一方、MicrosoftはパーソナルアシスタントCortanaにおける権限昇格の脆弱性を修正しました。CVE-2018-8140は、Cortanaがコマンド入力を適切にチェックしていないことに起因しています。実際には、コンソールまたはデバイスへの物理的なアクセス（つまり、通話距離内）を持つ攻撃者が、Cortanaを騙して、本来であれば攻撃者がアクセスできないアプリケーションやデータにアクセスさせてしまう可能性があります。
今月はデバイスが特に注目されました。Microsoftは、攻撃者がツールの様々なセキュリティ保護を回避できる可能性のある7つのバグ（CVE-2018-8201、CVE-2018-8211、CVE-2018-8212、CVE-2018-8215、CVE-2018-8216、CVE-2018-8217、CVE-2018-8221）に対する修正プログラムをリリースしました。
Office に関しては、今月は Excel のリモート コード実行の脆弱性 (CVE-2018-8248) と、SharePoint (CVE-2018-8252、CVE-2018-8254)、Outlook (CVE-2018-8244)、Publisher (CVE-2018-8245)、Web Apps Server (CVE-2018-8247) の権限昇格の脆弱性に対する修正が提供されます。
幸いなことに、管理者は、Flash の重大な欠陥に対する緊急パッチを早急にリリースした Adobe からの対応する修正プログラムで今月の Microsoft アップデートをフォローアップする必要はありません。®
