マイクロソフトが5月のセキュリティ情報公開、悪用の事実を確認済みの脆弱性1件含む

　独立行政法人 情報処理推進機構（IPA）は5月10日、「Microsoft 製品の脆弱性対策について(2023年5月)」を発表した。一般社団法人 JPCERT コーディネーションセンター（JPCERT/CC）も「2023年5月マイクロソフトセキュリティ更新プログラムに関する注意喚起」を発表している。これは、マイクロソフトが2023年5月度のセキュリティ更新プログラムを公開したことを受けたもの。

　対象となるソフトウェアは次の通り。

Microsoft Teams
Windows SMB
Microsoft Graphics コンポーネント
Windows NTLM
Windows NFS Portmapper
Windows Win32K
Windows Secure Socket トンネリング プロトコル (SSTP)
Windows インストーラー
リモート デスクトップ クライアント
Windows セキュア ブート
Windows NFS Portmapper
Windows PGM
Windows ネットワーク ファイル システム
Windows リモート プロシージャ コール ランタイム
Windows PGM
Microsoft Bluetooth ドライバー
Windows iSCSI Target Service
Windows バックアップ エンジン
Microsoft Bluetooth ドライバー
Microsoft Bluetooth ドライバー
Windows カーネル
Microsoft Office SharePoint
Microsoft Office Excel
Microsoft Office SharePoint
Microsoft Office SharePoint
Windows セキュア ブート
Windows LDAP - ライトウェイト ディレクトリ アクセス プロトコル
Windows RDP クライアント
Windows MSHTML プラットフォーム
Windows OLE
Microsoft Office Access
Microsoft Office Word
Windows Win32K
Visual Studio Code
Microsoft Windows Codecs Library
Microsoft Windows Codecs Library
SysInternals
Microsoft Office
Microsoft Edge (Chromium ベース)
Microsoft Edge (Chromium ベース)

　これらの脆弱性を悪用された場合、アプリケーションプログラムの異常終了や攻撃者によるパソコンの制御など、様々な被害が発生する可能性がある。

　IPAおよびJPCERT/CCでは、Microsoft Update、Windows Updateなどでセキュリティ更新プログラムを早急に適用するよう呼びかけている。

　また「Win32k の特権の昇格の脆弱性（CVE-2023-29336）」について、マイクロソフトは「悪用の事実を確認済み」と公表しており、被害拡大のおそれがあるため、至急、修正プログラムを適用するよう呼びかけている。

　マイクロソフトでは「セキュアブートのセキュリティ機能のバイパスの脆弱性（CVE-2023-24932）」についてガイダンスを公開しており、脆弱性に対する保護を適用するためには、今回の更新プログラムに含まれる修正を適用後にブータブルメディアやリカバリーイメージなどを更新した上で、手動で保護を適用する必要があるとしている。