9月のセキュリティ更新プログラムを公開、2つの脆弱性で悪用を確認 | ScanNetSecurity
2024.04.14(日)

9月のセキュリティ更新プログラムを公開、2つの脆弱性で悪用を確認

IPAとJPCERT/CCは、マイクロソフトが「2023年9月のセキュリティ更新プログラム」を公開したことを受け、注意喚起を発表した。

脆弱性と脅威 セキュリティホール・脆弱性

 独立行政法人 情報処理推進機構(IPA)と一般社団法人JPCERTコーディネーションセンター(JPCERT/CC)は9月13日、マイクロソフトが「2023年9月のセキュリティ更新プログラム」を公開したことを受け、注意喚起を発表した。

 マイクロソフト製品などに確認された脆弱性を解消する「2023年9月のセキュリティ更新プログラム(月例)」が公開されたのは9月12日(米国時間)で、対象となる製品やコンポーネントも多岐に及んでいる。

 特に、CVE-2023-36802、CVE-2023-36761の脆弱性は、マイクロソフトが悪用の事実を確認済みと公表しており、今後被害が拡大するおそれがあるため、至急、修正プログラムを適用するよう呼びかけている。

 CVE-2023-36802は、Microsoft Stream Services サービスのプロキシの特権の昇格の脆弱性であり、ローカルでの攻撃ではあるものの、攻撃者がこの脆弱性を悪用した場合、SYSTEM特権を獲得する可能性がある。

 CVE-2023-36761は、Microsoft Word の情報漏えいの脆弱性であり、こちらもローカルの攻撃区分となるが、この脆弱性が悪用されると、NTLMハッシュが漏えいする可能性がある。プレビュー ウィンドウも攻撃対象になるとしている。

 これらの脆弱性を悪用された場合、アプリケーションプログラムが異常終了したり、攻撃者によってPCを制御されたりして、様々な被害が発生するおそれがある。

 IPA、JPCERT/CCともに、マイクロソフトが提供する情報を参照し、早急に更新プログラムを適用するよう呼びかけている。

《吉澤 亨史( Kouji Yoshizawa )》

関連記事

特集

PageTop

アクセスランキング

  1. 山田製作所にランサムウェア攻撃、「LockBit」が展開され複数のサーバのデータが暗号化

    山田製作所にランサムウェア攻撃、「LockBit」が展開され複数のサーバのデータが暗号化

  2. マリンネットサイトに SQL インジェクション攻撃、メールアドレス流出

    マリンネットサイトに SQL インジェクション攻撃、メールアドレス流出

  3. プルーフポイント、マルウェア配布する YouTube チャンネル特定

    プルーフポイント、マルウェア配布する YouTube チャンネル特定

  4. レンズの受注や製造を停止 ~ HOYAグループで不正アクセスに起因する可能性が高いシステム障害

    レンズの受注や製造を停止 ~ HOYAグループで不正アクセスに起因する可能性が高いシステム障害

  5. お茶の水女子大学の研究室サーバに不正アクセス、攻撃の踏み台に

    お茶の水女子大学の研究室サーバに不正アクセス、攻撃の踏み台に

  6. デロイトと JFEスチール、サイバーセキュリティの合弁会社設立

    デロイトと JFEスチール、サイバーセキュリティの合弁会社設立

  7. 悪夢の検証 大英図書館ランサムウェア ~ 過ちが語る普遍的な物語

    悪夢の検証 大英図書館ランサムウェア ~ 過ちが語る普遍的な物語

  8. 北海道信用金庫の職員が業務関係書類を自宅に持ち帰り、定例の内部監査で発覚

    北海道信用金庫の職員が業務関係書類を自宅に持ち帰り、定例の内部監査で発覚

  9. 北九州市立大学の教員のパソコンに遠隔操作、ファイルを閲覧された可能性

    北九州市立大学の教員のパソコンに遠隔操作、ファイルを閲覧された可能性

  10. 日本信用情報機構、第三者に信用情報を開示 ~ 本人確認書類偽造によるなりすまし

    日本信用情報機構、第三者に信用情報を開示 ~ 本人確認書類偽造によるなりすまし

ランキングをもっと見る