2017 年 10 月のセキュリティ更新プログラム (月例)

[2017/10/17 更新] 本日、ADV170016 が廃止され、CVE-2017-13080が 2017 年 10 月のセキュリティ リリースに追加されました。CVE-2017-13080 は、複数ベンダー間の協調的な公開の一環としてリリースされました。これは情報のみの公開です。セキュリティ更新プログラムは既に 10 月の月例のリリースのタイミングで公開されています。

2017 年 10 月 11 日 (日本時間)、マイクロソフトは以下のソフトウェアのセキュリティ更新プログラムを公開しました。

• Microsoft Internet Explorer
• Microsoft Edge
• Microsoft Windows
• Microsoft Office、Microsoft Office Servers および Web Apps
• Skype for Business および Lync
• Chakra Core

新規セキュリティ更新プログラムを公開すると共に、新規のセキュリティ アドバイザリ 4 件の公開、既存の脆弱性情報 1 件の更新を行いました。なお、今月の「悪意のあるソフトウェアの削除ツール」では、新たに Win32/ShadowPad、Win32/Xeelyak に対する定義ファイルが追加されています。

お客様はできるだけ早期に、今月公開のセキュリティ更新プログラムを適用するようお願いします。

■ セキュリティ更新プログラム・セキュリティ アドバイザリに関する主な注意点

• 2017 年 10 月 10 日火曜日 (米国時間) の月例のセキュリティ リリース日を最後に、Office 2007、SharePoint Server 2007、および Windows 10 Version 1511 の Current Branch (CB) / Current Branch for Business (CBB) のサポート / サービスが終了となります。 10 月の更新以降、セキュリティ更新プログラムは提供されなくなります。Office 2007、SharePoint Server 2007 をご利用の方は、最新バージョンのご利用をご検討ください。Windows 10 Version 1511 をご利用の方は、最新の CB および CBB に更新することをお勧めします。
• Windows 10 RTM (4042895)、Windows 10 1603 (4041691)、Windows 7 (4041681) の更新プログラム適用後に、mshtml.dll を使って Web コンテンツをロードしたアプリケーションを終了する際にエラーメッセージが表示される可能性があります。

■ 新規のセキュリティ アドバイザリの公開 (4 件)

• セキュリティ アドバイザリ ADV170012「TPM のセキュリティ機能のバイパスの脆弱性」 特定の TPM チップセットに、キーの強度を弱めるファームウェアの脆弱性が存在します。オペレーティング システムまたは特定のアプリケーションの脆弱性ではないことに注意してください。ソフトウェアまたはファームウェアの更新プログラムのインストール後に、TPM キーをクリアして、実行中のセキュリティ サービスに再登録する必要があります。詳細はセキュリティ アドバイザリ ADV170012 を参照してください。
• セキュリティ アドバイザリ ADV170014「オプションの Windows NTLM SSO 認証の変更」 マイクロソフトは、NT LAN Manager (NTLM) のオプションのセキュリティ強化をリリースしました。このセキュリティ強化により、認証方法として NTLM シングル サインオン (SSO) を使用できる Windows 10 オペレーティング システムが多様なネットワーク リソースへのアクセスを制限します。具体的には、攻撃者が、ユーザーの HTML ハッシュを盗むために悪意のあるリソース (ファイル共有や Web サーバー) にユーザーを誘導することを防ぐことを目的とするセキュリティ強化です。この新しい動作はオプションとして提供し、Windows レジストリ設定にて手動で有効にする必要があります。詳細はセキュリティ アドバイザリ ADV170014 を参照してください。
• セキュリティ アドバイザリ ADV170016「Windows Server 2008 の多層防御」 マイクロソフトは、多層防御策としてセキュリティを強化する Microsoft Windows Server 2008 用更新プログラムをリリースしました。 2017/10/17 更新: ADV170016 が廃止され、CVE-2017-13080が 2017 年 10 月のセキュリティ リリースに追加されました。
• セキュリティ アドバイザリ ADV170017「Office の多層防御機能の更新プログラム」 マイクロソフトは、多層防御策としてセキュリティを強化する Microsoft Office 用更新プログラムをリリースしました。

■ 既存の脆弱性情報の更新 (1 件) 下記の脆弱性情報のセキュリティ更新プログラムの一部が再リリースされています。再リリースされたセキュリティ更新プログラムは既に適用済みのコンピューターにも再インストールする必要があります。詳細は、各セキュリティ情報を参照してください。

• CVE-2017-0250 「Microsoft JET データベース エンジンのリモートでコードが実行される脆弱性」 更新プログラムの公開時に発生した不具合を解決するために、この CVE を再リリースしました。不具合の影響を受けたお客様は、今月の更新プログラムを再インストールしてください。Windows Server 2008 を実行しているお客様は、セキュリティ更新プログラム 4042050 をインストールしてください。

■ 2017 年 10 月のセキュリティ更新プログラム

セキュリティの脆弱性および更新プログラムの情報を、CVE、KB 番号、製品、またはリリース日別に並べ替えたりフィルターをかけたりすることができます。

セキュリティ更新プログラム ガイド

各月のセキュリティ更新プログラムを絞り込むには、日付範囲に絞り込む月の第 2 火曜日を指定して検索してください。

マイクロソフトは新たに確認した脆弱性について、下記の新しいセキュリティ更新プログラムを公開しました。