本記事は、Security Research & Defense のブログ “ Assessing risk for the August 2013 security updates ” (2013 年 8 月 14 日公開) を翻訳した記事です。
本日、私たちは 23 件の CVE を解決する 8 件のセキュリティ情報をリリースしました。セキュリティ情報の内、3 件は最大深刻度が「緊急」、そして 5 件が「重要」でした。お客様の環境に最適な更新プログラムの適用優先順位の決定が行えるよう、以下の表をご活用ください。
| セキュリティ情報 | 最も起こりうる攻撃 | セキュリティ情報最大深刻度 | 最大悪用可能性指標 | 公開 30 日以内の影響 | プラットフォーム緩和策、および特記事項 |
|---|---|---|---|---|---|
| MS13-059(Internet Explorer) | 被害者が悪意のある Web ページを閲覧する。 | 緊急 | 1 | 30 日以内に悪用コードが作成される可能性があります。 | CanSecWest pwn2own 悪用の一部として使用される ASLR バイパスも解決します。(VUPEN Adobe Flash の悪用で使用される IE9 仲介の問題) |
| MS13-060(ブラウザ内の Unicode フォント) | インド語派の言語パックをインストールしている被害者が、悪意のある Web ページを閲覧する。 | 緊急 | 2 | 30 日以内に悪用コードが作成される可能性は低いです。 | Bangali font (英語情報)がインストールされている、Windows XP、および Windows 2003 マシンのみに影響を与えます。詳細情報は次のとおりです。 http://www.bhashaindia.com/ilit/GettingStarted.aspx?languageName=Tamil (英語情報) |
| MS13-061(Oracle Outside In for Exchange) | 攻撃者は、悪意のある添付ファイルが付いた電子メールを送り、被害者が Outlook Web Access 内の Web ページとして添付ファイルを閲覧するよう誘導します。攻撃者は、Web ページを作成しているサーバー側のプロセスを危険にさらす可能性があります。 | 緊急 | 2 | 30 日以内に悪用コードが作成される可能性は低いです。 | Oracle 2013 年 7 月のセキュリティ更新プログラムに記載されている、Oracle Outside In の問題を解決します。http://www.oracle.com/technetwork/topics/security/cpujuly2013-1899826.html (英語情報) |
| MS13-063(カーネル) | 既にマシン上でコードを実行している攻撃者が、この脆弱性を特権の低いアカウントから SYSTEM に昇格するために利用します。 | 重要 | 1 | 30 日以内に悪用コードが作成される可能性があります。 | CanSecWest pwn2own 悪用の一部として使用される LdrHotPatchRoutine Windows ASLR バイパスを解決します。この更新プログラムにおける、前述の状況についてはこの SRD ブログ投稿 (英語情報) で詳細情報を読むことができます。 |
| MS13-062(RPC) | 特権の高いユーザーとして同じマシン上でリモート リソースに対し、非同期の RPC リクエストをする攻撃者は、特権の高いユーザーとして、RPC リクエストを実行できる可能性があります。（例：より特権の高いユーザーが、継続的に印刷ジョブを投稿しているプリント サーバー シナリオ） | 重要 | 1 | 30 日以内に悪用コードが作成される可能性があります。しかしながら、制限されたシナリオの場合に、攻撃が行われる可能性があります。 | これは、いくつかの事前条件のある、事後承認競合条件攻撃 (post-auth race condition attack) です。信頼性をもたらすことは困難です。 |
| MS13-066(Active Directory フェデレーション サービス) | 攻撃者は、ユーザーへのサービスを拒否する ADFS によって使用されるサービス アカウントからロックアウトするために、情報漏えいを使用することができます。 | 重要 | 3 | サービス拒否のみ。 | |
| MS13-065(ICMP) | 悪意のある ICMP パケットを送信している攻撃者が、被害者の受信環境でサービス拒否を引き起こします。 | 重要 | 3 | サービス拒否のみ。 | これを再現するのは困難です。サードパーティ製のドライバーがインストールされている、および、ページ境界と合致するメモリ内に保管されているパケットが必須である可能性が高いです。 |
| MS13-064(NAT ドライバー) | 攻撃者は、サービス拒否を引き起こしている Direct Access サーバーに対して、悪意のあるネットワーク攻撃を行います。 | 重要 | 3 | サービス拒否のみ。 | WinNat サービスを稼働しているマシンのみに影響を与えます。このサービスは、Windows Server 2012 で初めて紹介され、デフォルトではオフ設定です。 |
ジョナサン・ネス、MSRC エンジニアリング