本記事は、Security Research & Defense のブログ “Assessing risk for the February 2013 security updates” (2013 年 2 月 12 日公開) を翻訳した記事です。
本日、私たちは 57 件の CVE (脆弱性) を解決する 12 件のセキュリティ情報をリリースしました。セキュリティ情報の内、5 件は最大深刻度が「緊急」、そして 7 件が「重要」でした。お客様の環境に最適な更新プログラムの適用優先順位の決定が行えるよう、以下の表をご活用ください。
| セキュリティ情報 | 最も起こりうる攻撃方法 | セキュリティ情報最大深刻度 | 最大悪用可能性指標 | 公開 30 日以内の影響 | プラットフォーム緩和策、および特記事項 |
|---|---|---|---|---|---|
| MS13-010(VML) | 被害者が、悪意のある Web ページを閲覧する。 | 緊急 | 1 | 標的型攻撃において、アドレス漏えいの脆弱性に利用されていました。30 日以内に、情報の漏えい、あるいはコード実行の脆弱性として再度、利用される可能性があります。 | VGX.dll は、ごく最近、 Internet Explorer の累積的な更新プログラムに含まれました。DLL は元々、Office コンポーネントとして出荷されていました。プラットフォームによっては、MS13-009 に修正が含まれている場合があります。修正がすべてのプラットフォームで利用可能であることを確実にするため、MS13-009 が既にインストールされているプラットフォームも含め、WU 検出ロジックは MS13-010 をすべてのプラットフォームに対して対象としています。 |
| MS13-009(Internet Explorer) | 被害者が、悪意のある Web ページを閲覧する。 | 緊急 | 1 | 30 日以内に悪用コードが作成される可能性があります。 | |
| MS13-020(OLEAUT32) | 被害者が、 Word あるいは Wordpad に Active X コントールが埋め込まれた悪意のある RTF ファイルを開いた結果、ログイン中のユーザー コンテキストで、コードが実行される可能性がある。 | 緊急 | 1 | 30 日以内に悪用コードが作成される可能性があります。 | ドキュメント形式の攻撃は、一般に「重要」と評価されます。しかし、この OLEAUT32.dll のコアメモリ管理機能における脆弱性は、サードパーティーの ActiveX コントロールで使用される傾向があります。マイクロソフトのブラウザーを原因とした攻撃方法は 1 つも特定していませんが、サードパーティーの Active X コントロールによりブラウザー内でこの脆弱性がさらされる可能性があります。 |
| MS13-011(Windows メディア) | サードパーティーのコーデックをインストールした被害者が、悪意のある Web ページを閲覧する。 | 緊急 | 1 | 30 日以内に悪用コードが作成される可能性があります。サードパーティー コーデックが (発生の) 必要条件であるため、広範囲の攻撃がみられる可能性は低いです。 | サードパーティーのコーデックのインストールなしには、脆弱性は引き起こされません。 |
| MS13-012(Oracle Outside In for Exchange) | 攻撃者は、悪意のある添付ファイルを含む電子メールを被害者に送信し、被害者が Outlook Web アクセスで添付ファイルを Web ページとして閲覧するよう誘導します。攻撃者は、Web ページを作り出すサーバー側のプロセスを侵害する可能性があります。 | 緊急 | 2 | これらの脆弱性について、悪用コードを作成することは困難です。 | Oracle Outside In は、特権の低いレベルである、ローカル サービスで作動します。この問題に関する遠因の詳細については、この SRD ブログ投稿 (英語情報) を参照してください。 |
| MS13-015(.NET Framework) | 被害者が、 XBAP あるいは ClickOnce アプリケーションを提供する、悪意のあるイントラネット Web ページを閲覧する。 | 重要 | 1 | 脆弱性そのものは、悪用可能です (それゆえに、評価を「1」に設定)。しかしながら、XBAP が IE9 上、および Internet Explorer の初期バージョンのインターネット ゾーンでは無効になっています。したがって、広範囲で悪用される可能性は低いです。 | |
| MS13-016(Windows ドライバー[win32k.sys]) | すでにマシン上でコードを実行している攻撃者が、これらの脆弱性を悪用し、特権の低いアカウントからシステム アカウントに昇格する。 | 重要 | 2 | これらの脆弱性について、悪用コードを作成することは困難です。 | 30 の異なる win32k.sys の関数に存在する同様の脆弱性が、高い (30 件) CVE 数につながっています。 |
| MS13-017(Windows カーネル) | すでにマシン上でコードを実行している攻撃者が、これらの脆弱性を悪用し、特権の低いアカウントからシステムに昇格する。 | 重要 | 1 | 30 日以内に悪用コードが作成される可能性があります。 | |
| MS13-019(CSRSS) | すでにマシン上でコードを実行している攻撃者が、これらの脆弱性を悪用し、特権の低いアカウントからシステムに昇格する。 | 重要 | 1 | この脆弱性について、悪用コードを作成することは困難です。 | |
| MS13-013(FAST Search Server for Sharepoint) | Sharepoint サーバーに悪意のあるコンテンツをアップロードできる権限を持つ攻撃者はそういったコンテンツをアップロードする、それが FAST Search サーバーによりインデックス付けされる。結果として、インデックス サービスによって使用される制限されたトークンというコンテキストで、コードが実行される可能性がある。 | 重要 | 1 | 30 日以内に悪用コードが作成される可能性があります。 | インデックス利用のために Oracle Outside In テクノロジーを活用する SharePoint Advanced Filter Pack は、既定で有効にはなっていません。有効になっている場合に SharePoint がインデックスに使用するプロセスは、Office 2010 の保護されたビューのサンドボックスと同様に、制限されたトークンで作動します。詳細については、この SRD ブログ投稿 (英語情報) を参照してください。 |
| MS13-018(TCP/IP) | 攻撃者は、何百万もの TCP/IP 接続を犠牲者サーバーに対して作成し、犠牲者から攻撃者に FIN を送信し接続終了を行うようにしむける。時間が経つと、犠牲者の非ページプールが使い果たされ、犠牲者は新しいネットワーク接続を作成することができなくなる。 | 重要 | 対象外 | サービス拒否のみ。 | サービス拒否のみ – コードが実行されることはありません。この問題に関する遠因の詳細については、この SRD ブログ投稿 (英語情報) を参照してください。 |
| MS13-014(NFS サーバー ロール) | 攻撃者は、 NFS の役割が有効になっている Windows サーバーに、サービス拒否の状態を引き起こす。 | 重要 | 対象外 | サービス拒否のみ。 | NFS の役割が有効になっていないサーバーには影響を与えません。 |
ジョナサン・ネス、MSRC エンジニアリング