マイクロソフトが11月のセキュリティ情報公開、悪用の事実を確認済みの脆弱性も6件

　独立行政法人 情報処理推進機構（IPA）は11月9日、「Microsoft 製品の脆弱性対策について(2022年11月)」を発表した。一般社団法人 JPCERT コーディネーションセンター（JPCERT/CC）も「2022年11月マイクロソフトセキュリティ更新プログラムに関する注意喚起」を発表している。これは、マイクロソフトが2022年11月度のセキュリティ更新プログラムを公開したことを受けたもの。

　対象となるソフトウェアは次の通り。

.NET Framework
AMD CPU Branch
Azure
Azure リアルタイム オペレーティング システム
Linux カーネル
Microsoft Dynamics
Microsoft Exchange Server
Microsoft Graphics コンポーネント
Microsoft Office
Microsoft Office Excel
Microsoft Office SharePoint
Microsoft Office Word
ネットワーク ポリシー サーバー (NPS)
オープン ソース ソフトウェア
ロール: Windows Hyper-V
SysInternals
Visual Studio
Windows Advanced Local Procedure Call
Windows ALPC
Windows Bind Filter ドライバー
Windows BitLocker
Windows CNG キー分離サービス
Windows デバイス用ヒューマン インターフェイス
Windows Digital Media
Windows DWM Core ライブラリ
Windows 拡張ファイル割り当て
Windows グループ ポリシーの基本設定クライアント
Windows HTTP.sys
Windows Kerberos
Windows Mark of the Web (MOTW)
Windows Netlogon
Windows Network Address Translation (NAT)
Windows ODBC ドライバー
Windows Overlay Filter
Windows Point-to-Point Tunneling プロトコル
Windows 印刷スプーラー コンポーネント
Windows Resilient File System (ReFS)
Windows スクリプト
Windows Win32K

　これらの脆弱性を悪用された場合、アプリケーションプログラムの異常終了や攻撃者によるパソコンの制御など、様々な被害が発生する可能性がある。

　IPAおよびJPCERT/CCでは、Microsoft Update、Windows Updateなどでセキュリティ更新プログラムを早急に適用するよう呼びかけている。

　また、「Windows Mark Of The Web セキュリティ機能のバイパスの脆弱性（CVE-2022-41091）」「Windows 印刷スプーラーの特権の昇格の脆弱性（CVE-2022-41073）」「Windows CNG キー分離サービスの特権の昇格の脆弱性（CVE-2022-41125）」「Windows スクリプト言語のリモートでコードが実行される脆弱性（CVE-2022-41128）」および2022年10月1日（日本時間）に公開された「Microsoft Exchange Server の特権の昇格の脆弱性（CVE-2022-41040）」「Microsoft Exchange Server のリモートでコードが実行される脆弱性（CVE-2022-41082）」について、Microsoft 社は「悪用の事実を確認済み」と公表しており、被害拡大のおそれがあるため、至急、修正プログラムを適用するよう呼びかけている。