Skip to main content
MSRC

2023 年 5 月のセキュリティ更新プログラム (月例)

Japan Security Team
/ By Japan Security Team / / 19 min read

2023 年 5 月 9 日 (米国時間)、マイクロソフトは、マイクロソフト製品に影響する脆弱性を修正するために、セキュリティ更新プログラムを公開しました。影響を受ける製品をご利用のお客様は、できるだけ早期に、公開したセキュリティ更新プログラムを適用してください。なお、マイクロソフト製品では、一部の例外を除き既定で自動更新が有効になっており、自動的にセキュリティ更新プログラムが適用されます。最新の情報は、セキュリティ更新プログラム ガイド を確認してください。



なお、今月の「悪意のあるソフトウェアの削除ツール」では、このツールで削除できる悪意のあるソフトウェアが追加されています。詳細は、対象のマルウェアファミリ を参照してください。

セキュリティ更新プログラム、セキュリティ アドバイザリに関する主な注意点

  • 今月のセキュリティ更新プログラムで修正した脆弱性のうち、以下の脆弱性は更新プログラムが公開されるよりも前に悪用や脆弱性の詳細が一般へ公開されていることを確認しています。お客様においては、更新プログラムの適用を早急に行ってください。脆弱性の詳細は、各 CVE のページを参照してください。

    • 悪用を確認 ： CVE-2023-29336 Win32k の特権の昇格の脆弱性
    • 公開を確認 ： CVE-2023-29325 Windows OLE のリモートでコードが実行される脆弱性
    • 悪用および公開を確認 ： CVE-2023-24932 セキュア ブートのセキュリティ機能のバイパスの脆弱性

  • 今月のセキュリティ更新プログラムで修正した脆弱性のうち、CVE-2023-24932 セキュア ブートのセキュリティ機能のバイパスの脆弱性は、脆弱性からシステムを保護するために、更新プログラムの適用に加え、追加の手順を実行する必要があります。詳細については、CVE-2023-24932 および CVE-2023-24932 に関連するセキュア ブート マネージャーの変更に関するガイダンス をご参照ください。

  • 今月のセキュリティ更新プログラムで修正した脆弱性のうち、CVE-2023-24881 Microsoft Teams の情報漏えいの脆弱性は、脆弱性からシステムを保護するために、Teams のバージョンアップに加え、追加の手順を実行する必要があります。詳細については、CVE-2023-24881 をご参照ください。

  • 今月のセキュリティ更新プログラムで修正した脆弱性のうち、CVE-2023-24943 Windows Pragmatic General Multicast (PGM) のリモートでコードが実行される脆弱性 および CVE-2023-24941 Microsoft ネットワーク ファイル システムのリモートでコードが実行される脆弱性 は、CVSS 基本値が 9.8 と高いスコアで、認証やユーザーの操作なしで悪用が可能な脆弱性です。これらの脆弱性が存在する製品、および悪用が可能となる条件については、各 CVE のページの「よく寄せられる質問」 を参照してください。セキュリティ更新プログラムが公開されるよりも前に、脆弱性の情報の一般への公開、脆弱性の悪用はありませんが、脆弱性の特性を鑑み、企業組織では早急なリスク評価とセキュリティ更新プログラムの適用を推奨しています。

  • 今月のセキュリティ更新プログラムで修正した脆弱性のうち、CVE-2023-29324 Windows MSHTML Platform の セキュリティ 機能のバイパスの脆弱性 について、ブログ マイクロソフトは Outlook の 特権昇格の脆弱性を緩和します が更新されています。Windows 用 Microsoft Outlook をご利用のお客様は、ブログの内容をご確認ください。

  • セキュリティ更新プログラムにおける既知の問題は、各セキュリティ更新プログラムのサポート技術情報を参照してください。既知の問題が確認されている各セキュリティ更新プログラムのサポート技術情報一覧は、2023 年 5 月セキュリティ更新プログラム リリースノートに掲載されています。

  • [リマインダー] 2023 年 6 月 以降に予定されている Windows のセキュリティ強化について
    すでにアナウンスが行われている通り、脆弱性からシステムを保護するため、2023 年 6 月以降の Windows 用更新プログラムでは、セキュリティ強化の設定が段階的に有効化される予定です。予定されている変更内容とスケジュールについては、 Latest Windows hardening guidance and key dates をご参照ください。



2023 年 5 月のセキュリティ更新プログラムを公開した製品、コンポーネント一覧

2023 年 5 月 9 日 (米国時間) にセキュリティ更新プログラムを公開した製品およびコンポーネントの一覧は、2023 年 5 月セキュリティ更新プログラム リリースノートをご確認ください。



2023 年 5 月のセキュリティ更新プログラム一覧

2023 年 5 月 9 日 (米国時間) に公開したセキュリティ更新プログラムの一覧は次の通りです。 最新の情報は、セキュリティ更新プログラム ガイド を確認してください。

製品ファミリ 最大深刻度 最も大きな影響 関連するサポート技術情報またはサポートの Web ページ
Windows 11 v21H2 および v22H2 緊急 リモートでコードの実行が可能 V22 H2 5026372
V21 H2 5026368
Windows 10 v22H2,v21H2,および v20H2 緊急 リモートでコードの実行が可能 5026361
Windows Server 2022 (Server Core installation を含む) 緊急 リモートでコードの実行が可能 5026370
Hotpatch 5026456
Windows Server 2019 , 2016 (Server Core installation を含む) 緊急 リモートでコードの実行が可能 Windows Server 2019 5026362
Windows Server 2016 5026363
Windows Server 2012 R2, Windows Server 2012 (Server Core installation を含む) 緊急 リモートでコードの実行が可能 Windows Server 2012 R2
Monthly Rollup 5026415
Security Only 5026409

Windows Server 2012
Monthly Rollup 5026419
Security Only 5026411
Microsoft Office 重要 リモートでコードの実行が可能 https://learn.microsoft.com/officeupdates
Microsoft SharePoint 緊急 リモートでコードの実行が可能 https://learn.microsoft.com/officeupdates/sharepoint-updates
Microsoft Visual Studio 重要 情報漏えい https://learn.microsoft.com/visualstudio
Windows Sysmon 重要 特権の昇格 https://learn.microsoft.com/sysinternals
Microsoft Remote Desktop 重要 情報漏えい https://learn.microsoft.com/azure/virtual-desktop/whats-new-client-windows



既存の脆弱性情報の更新

2023 年 5 月 9 日 (米国時間) に、既存の脆弱性 14 件を更新しました。

CVE 変更内容
CVE-2021-28452 Microsoft Outlook のメモリ破損の脆弱性 「セキュリティ更新プログラム」一覧の資料のリンクを修正しました。これは情報のみの変更です。
CVE-2013-3900 WinVerifyTrust 署名の検証に関する脆弱性 このセキュリティ情報ページの 「概要」 において、Windows 10 および Windows 11 に関する情報を修正しました。このレジストリ キーのサポート コードが Windows 10 および Windows 11 のリリース時に組み込まれたため、セキュリティ更新プログラムの適用は必要ないことを記載しました。ただし、レジストリ キーを設定する必要があります。これは情報のみの変更です。
CVE-2022-29900 AMD: CVE-2022-29900 MD CPU Branch Type Confusion このドキュメントは、元々 CVE-2022-23816 に関連していました。この CVE は、同じ脆弱性に関連する別の CVE のために、CNA によって公式に割り当てが拒否されました。このため、このドキュメントを更新し、CVE-2022-29900 を参照するようにしました。これは、情報提供のみの変更です。
CVE-2022-26928 Windows フォトのインポート API の特権の昇格の脆弱性 CVE-2022-26928 に包括的に対処するために、マイクロソフトは、影響を受けるすべてのバージョンの Microsoft Windows 用に 2023 年 5 月のセキュリティ更新プログラムをリリースしました。この脆弱性から完全に保護するために、この更新プログラムをインストールすることを強くお勧めします。システムが自動更新を受信するように構成されているお客様は、特別な措置を講じる必要はありません。
CVE-2022-41104 Microsoft Excel のセキュリティ機能のバイパスの脆弱性 影響を受ける製品の CVSS スコアを 1 つ以上更新しました。これは情報のみの変更です。
CVE-2023-21738 Microsoft Office Visio のリモートでコードが実行される脆弱性 影響を受ける製品の CVSS スコアを 1 つ以上更新しました。これは情報のみの変更です。
CVE-2023-21779 Visual Studio Code のリモートでコードが実行される脆弱性 影響を受ける製品の CVSS スコアを 1 つ以上更新しました。これは情報のみの変更です。
CVE-2023-23383 Service Fabric Explorer のなりすましの脆弱性 FAQ 情報を追加しました。今回の更新は情報のみの変更です。
CVE-2023-23396 Microsoft Excel のサービス拒否の脆弱性 FAQ 情報を追加しました。今回の更新は情報のみの変更です。
CVE-2023-23398 Microsoft Excel のなりすましの脆弱性 FAQ 情報を更新しました。これは、情報のみの変更です。
CVE-2023-24858 Microsoft PostScript および PCL6 クラス プリンター ドライバーの情報漏えいの脆弱性 影響を受ける製品の CVSS スコアを 1 つ以上更新しました。これは情報のみの変更です。
CVE-2023-24911 Microsoft PostScript および PCL6 クラス プリンター ドライバーの情報漏えいの脆弱性 影響を受ける製品に関する 1 つ以上の CVSS スコアを更新し、区分の設定を説明する FAQ を追加しました。これは情報のみの変更です。
CVE-2023-24892 Microsoft Edge (Chromium ベース) Webview2 のなりすましの脆弱性 影響を受ける製品に関する 1 つ以上の CVSS スコアを更新し、区分の設定を説明する FAQ を追加しました。これは情報のみの変更です。
CVE-2022-41121 Windows Graphics コンポーネントの特権の昇格の脆弱性 Remote Desktop client for Windows Desktop は、この脆弱性の影響を受けないため、セキュリティ更新プログラムの表より削除しました。これは、情報提供のみの変更です。



新規セキュリティ アドバイザリの公開

今月、新たに公開したセキュリティ アドバイザリはありません。



既存のセキュリティ アドバイザリの更新

今月、更新した既存のセキュリティ アドバイザリはありません。



補足情報



次回のセキュリティ更新プログラムのリリースは、2023 年 6 月 13 日 (米国時間) を予定しています。詳しくは、年間スケジュールを参照してください。



補足情報

  • 2023 年 5 月 10 日 本ブログ を公開しました。
  • 2023 年 5 月 10 日 CVE-2023-24932 および CVE-2023-29324 について、日本語抄訳版ブログを公開したため、本ブログ内のリンクを更新しました。
Next Post

Related Posts

How satisfied are you with the MSRC Blog?

Rating

Feedback * (required)

Your detailed feedback helps us improve your experience. Please enter between 10 and 2,000 characters.

Thank you for your feedback!

We'll review your input and work on improving the site.