本記事は、Security Research & Defense のブログ “ Assessing risk for the February 2014 security updates ” (2014 年 2 月 11 日公開) を翻訳した記事です。
本日、31 件の CVE を解決する 7 件のセキュリティ情報をリリースしました。セキュリティ情報の内、4 件は最大深刻度が「緊急」、そして 3 件が「重要」でした。お客様の環境に最適な更新プログラムの適用優先順位の決定が行えるよう、以下の表をご活用ください。
| セキュリティ情報 | 最も起こりうる攻撃 | セキュリティ情報最大深刻度 | 最大悪用可能性指標 | 公開 30 日以内の影響 | プラットフォーム緩和策、および特記事項 |
|---|---|---|---|---|---|
| MS14-010(Internet Explorer) | 被害者が悪意のある Web ページを閲覧する。 | 緊急 | 1 | 30 日以内に悪用コードが作成される可能性があります。 | 1 つのパッケージで、メモリ破損の脆弱性、および特権の昇格の脆弱性の 2 つを解決します。 |
| MS14-011(VBScript) | 被害者が悪意のある Web ページを閲覧する。 | 緊急 | 1 | 30 日以内に悪用コードが作成される可能性があります。 | このセキュリティ情報が解決する 1 件の脆弱性は、IE9 ユーザー向けの MS14-010 内に記載されています。既に IE9 をインストールしているお客様は MS14-011 を適用する必要はありません。 |
| MS14-007(Direct2D) | 被害者が悪意のある Web ページを閲覧する。 | 緊急 | 1 | 30 日以内に悪用コードが作成される可能性があります。 | Internet Explorer が、Direct2D 内のこの脆弱性のベクターです。 |
| MS14-005(MSXML) | 被害者が悪意のある Web サイトを閲覧し、情報漏えいの脆弱性にさらされる。 | 重要 | 3 | 2013 年 11 月中の標的型攻撃における ASLR のバイパス機能の脆弱性として初めに確認されました。詳細が明らかになれば、この脆弱性を悪用する攻撃を再び目撃する可能性があります。 | 2013 年 11 月中に SRD(英語情報) および FireEye(英語情報) ブログで説明していたように、この脆弱性は能動的な攻撃において他の脆弱性とともに利用されました。MS13-090 のセキュリティ更新プログラムによって、これらブログ投稿で説明されたすべての攻撃が完全に防御できました。 |
| MS14-009(.NET Framework) | 最も悪用される可能性が高い脆弱性は、攻撃者が ASP.NET web アプリケーションに対し投稿リクエストを開始するものの、リクエストを完了しないもので、リソースの消耗によるサービス拒否につながる。 | 重要 | 1 | CVE-2014-025 に関わるリソース消耗の攻撃が、既に実地で進行中です。 | CVE-2014-0253 は “Slowloris” 攻撃のリソース消耗を解決します。CVE-2014-0257 は、プロセス外のコードを実行している com オブジェクトに関連するサンドボックス エスケープの脆弱性を解決します。CVE-2014-0295 は、http://www.greyhathacker.net/?p=585 (英語情報)で説明している vsab7rt.dll ASLR のバイパスを解決します。 |
| MS14-008(Forefront Protection for Exchange) | コードに到達できる可能性は低い。しかしながら、攻撃者が方法を見つけた場合、Forefront Protection for Exchange service によって悪意のある電子メール メッセージが加工されることがある。 | 緊急 | 3 | この脆弱性を標的とする悪用コードが作成される可能性は低いです。 | この脆弱性の攻撃ベクターは一見すると人目をひく (電子メール) ように思えますが、脆弱性に到達する可能性は低いです。コード分析の結果、社内で発見されましたが実在の脆弱性トリガーを展開させることには成功していません。マイクロソフトは十分な警告からセキュリティ更新プログラムを通じて、この問題を解決します。 |
| MS14-006(IPv6) | 被害者と同じサブネット上 (IPv6 リンク ローカル) に存在する攻撃者が、多数の悪意のある経路広告を送信し、その結果、被害者のシステムにおいてバグチェックが起こる。 | 重要 | 3 | サービス拒否のみ。 | このバグチェックはメモリ破損が原因ではなく、システム上のウォッチドッグ タイマーが引き起こします。Windows RT、Windows Server 2012 (R2 には影響を与えない)、および Windows 8 (8.1 には影響を与えない) に影響を与えます。 |
ジョナサン・ネス、MSRC エンジニアリング