パッチ チューズデーMicrosoft の 2020 年 10 月の Update Tuesday パッチ ダンプでは、12 個の Redmond 製品の 87 件の CVE に対処するセキュリティ パッチが配信されました。
ナデラ氏のセキュリティチームは、22件のリモートコード実行（RCE）脆弱性CVEを特定しましたが、最も懸念されるのはCVE-2020-16898（Windows TCP/IP RCE）で、深刻度は10点満点中9.8点と評価されています。これはWindowsデスクトップおよびサーバーシステムに影響を与えます。
Microsoftによると、WindowsのTCP/IPスタックはICMPv6ルーター広告パケットを適切に処理できないとのことです。そのため、誰かが脆弱なマシンに悪意のあるIPv6パケットをネットワーク経由で送信し、コードを注入して実行させ、最終的にはおそらくカーネルレベルの権限でマシンを乗っ取る可能性があります。以下は、レドモンドからの懸念を煽る声明です。
Microsoftは、この脆弱性が悪用される可能性が高いと述べており、Windows ビルド 1709 以降では回避策が利用可能となっています。ただし、早急にパッチを適用することを強くお勧めします。
「コード実行はTCP/IPスタック内で行われるため、攻撃者は昇格した権限で任意のコードを実行できると想定される」と、Zero Day Initiativeのダスティン・チャイルズ氏は本日のパッチの概要で述べた。
IPv6ネットワークを運用している場合、ルーター広告のフィルタリングは現実的な回避策ではないことはご存知でしょう。また、マイクロソフトはこのバグの悪用可能性を最も高く評価しているため、悪用される可能性は高いです。このパッチをできるだけ早くテストし、適用してください。
ひどいバグといえば、Hyper-V には、パッチを適用する必要がある厄介なゲスト アプリケーションからホスト サーバーへのエスケープ (CVE-2020-16891) があります。
Microsoft Outlookのリモートコード実行（RCE）であるCVE-2020-16947も、問題を引き起こす可能性があるようです。CVSSスコアは8.1/10と評価されており、このメモリ処理の脆弱性により、プレビューウィンドウが開いている場合、攻撃者が管理者権限を持つユーザーに細工したファイルを送信し、システムを乗っ取る可能性があります。
「具体的な欠陥は、電子メール内のHTMLコンテンツの解析に存在します」とチャイルズ氏は説明した。「この問題は、ユーザーが入力したデータを固定長のヒープベースのバッファにコピーする前に、そのデータの長さを適切に検証していないことに起因しています。」
合計11件の脆弱性が「重大」、75件が「中程度」、そして1件が「重要」と評価されています。このうち6件はすでに公表されています。
影響を受けるアプリケーションは次のとおりです。
- マイクロソフトウィンドウズ
- Microsoft Office および Microsoft Office サービスと Web アプリ
- Microsoft JET データベース エンジン
- Azure 関数
- アズールスフィア
- オープンソースソフトウェア
- マイクロソフト Exchange サーバー
- ビジュアルスタジオ
- PowerShellGet
- マイクロソフト .NET フレームワーク
- マイクロソフトダイナミクス
- Microsoft Windows コーデック ライブラリ
Microsoft のリストの 88 番目のエントリは、Windows 版 Adobe Flash Player に関するアドバイザリです。これには、macOS、Linux、Chrome OS のバージョンとともに、重大な任意コード実行の脆弱性 (CVE-2020-9746) が含まれています。
Adobe によると、この脆弱性を悪用するには、「攻撃者は、デフォルトで TLS/SSL 経由で配信される HTTP 応答に悪意のある文字列を挿入する必要があります」。
ハッカーがアメリカ政府のネットワークを乗っ取る七つの大罪：パッチ未適用のバグがシステムを無防備な状態にする
続きを読む
ユーザーは、該当するオペレーティング システムに Adobe Flash Player 32.0.0.445 をインストールし、アプリの残された時間を楽しんでください。Adobe は、2020 年 12 月 31 日に Flash Player の配布を停止する予定です。
エンタープライズ ソフトウェア ベンダーの SAP も、パッチ パッケージ (以前のパッチに加えて 15 個のパッチと 6 個の追加パッチ) を配布しました。
最も深刻なのは、SAP Solution Manager（CA Introscope Enterprise Manager）およびSAP Focused Run（CA Introscope Enterprise Manager）のバージョン（WILY_INTRO_ENTERPRISE 9.7、10.1、10.5、10.7）に影響を与えるOSコマンドインジェクション脆弱性（CVE-2020-6364）です。このバグの深刻度は10点満点中10点です。
Intelは、オープンソースBluetoothスタックBlueZに存在する3つの脆弱性に関するセキュリティアドバイザリを公開しました。これらの深刻度の高い脆弱性は、権限昇格や情報漏洩につながる可能性があります。修正にはLinuxカーネルのアップデートが含まれます。
一方、Red Hatは、Red Hat Enterprise Linux 6の各種パッケージに含まれるChromiumブラウザに関するセキュリティアドバイザリを発行しました。このアドバイザリでは、先週Googleが提供した35件の修正が取り上げられています。
明るい面としては、87 件の CVE は、Microsoft が 9 月に対処した 129 件よりも大幅に少ないです。®
