マイクロソフト、6月の月例パッチリリース--50件の脆弱性を修正

　Microsoftは、6月の月例パッチで脆弱性50件を修正した。「Windows 10 April 2018 Update」（Windows 10 1803）の品質改善と修正もリリースされている。

　「KB4284835」アップデートでWindows 10 バージョン 1803は「OS ビルド 17134.112」となり、起動時に黒い画面が表示される「ブラックスクリーン」の問題に対処した。

「Windows 10」春の大型アップデートで何が変わるか

　この問題は、5月に一部で報告されていた、Windows 10 April 2018 Update適用後にブラックスクリーン問題が発生する可能性がある件とは別の話だ。

　その他、「BitLocker」が有効な状態でファームウェアをアップデートするとBitLocker回復モードに入るが、セキュアブートが無効になったり存在しない状態になったりする問題が修正された。今回のビルドでは、デバイスがこの状態の時にファームウェアをインストールしないようになった。

　管理者は、BitLockerを一時停止する、OSの次回起動前にファームウェアをインストールする、あるいはBitLockerが停止状態のままにならないようにデバイスをすぐに再起動することで、ファームウェアをインストールできる。

　6月の月例パッチでは、「Internet Explorer」（IE）、「Microsoft Edge」、Windows、「Office」、JavaScriptエンジン「ChakraCore」の問題と、すでにエクスプロイトが出回っているとされる「Adobe Flash Player」の問題に対応した。

　修正されたのは重要度「緊急」の脆弱性11件と「重要」に分類される脆弱性39件だ。

　トレンドマイクロが運営する脆弱性発見コミュニティZero Day Initiative（ZDI）は米国時間5月29日、スクリプト エンジンがInternet Explorerでメモリ内のオブジェクトを処理する方法に関する問題について情報を公開した。攻撃者は、この脆弱性（CVE-2018-8267）を悪用して任意のコードを実行できる。

　MicrosoftのCVE-2018-8267に関するセキュリティ勧告によると、IEやIEのレンダリングエンジンを含むOfficeの文書を通じてこの脆弱性が悪用される可能性がある。悪意あるウェブサイトや感染したウェブサイトを訪問すれば被害を受ける恐れがあるという。Microsoftは、この脆弱性が悪用される可能性は高いとしている。

　CiscoのTalos Intelligence Groupの研究者らは、Windows DNSAPIのリモートでコードが実行される脆弱性（CVE-2018-8225）など、Windowsユーザーがすぐにパッチを適用するべき複数のバグについて指摘している。MicrosoftはCVE-2018-8225の脆弱性が悪用される可能性は低いとしている。

　Chakraに影響し、リモートでコードが実行される脆弱性（CVE-2018-8229）は、Googleの「Project Zero」によって発見され、Edgeを通じて悪用される恐れがある。Microsoftは、この脆弱性が悪用される可能性は高いとしている。

　Microsoftは、「Meltdown」「Spectre」脆弱性に対するWindows緩和策と、それに関連する「Spectre（Variant 4）」を利用した「Speculative Store Bypass」（投機的ストアバイパス）攻撃（CVE-2018-3639）関連についても新たなガイダンスを公開した。「Spectre（Variant 2）」（CVE-2017-5715）と「Meltdown」（CVE-2017-5754）について、「Windows 7」からWindows 10を対象としてすでに公開された緩和策は、デフォルトで有効となっている。