Microsoftは米国時間5月14日、さまざまなMicrosoft製品を対象とした79件の脆弱性を修正する月例パッチを公開した。
今月のアップデートには特に重要な修正内容が2件含まれている。すでに攻撃で悪用される事例が発生しているゼロデイ脆弱性CVE-2019-0863と、Intel製CPUに存在する、公表されたばかりの不具合に対応するためのセキュリティアドバイザリADV190013だ。
ゼロデイ脆弱性
このゼロデイ脆弱性は、「Windowsエラー報告」（WER）がファイルを処理する方法に特権昇格の脆弱性が存在するというものだ。
この脆弱性（CVE-2019-0863）はPolarBearとPalo Alto Networksのセキュリティ研究者が発見したもので、すでにハッカーが侵入したシステムで、通常アカウントから管理者権限を利用してシステムにアクセスするために使用されている。
攻撃方法の詳細は、ユーザーがパッチを適用する前にほかの攻撃者がその情報を利用した攻撃を始めるのを防ぐために、現時点では伏せられている。
MDS攻撃に対する緩和策
今回の月例セキュリティアップデートには、同日発表されたIntel製CPUのハードウェア設計に存在する一連の脆弱性に対する同社の軽減策を説明するセキュリティアドバイザリADV190013も含まれている。この攻撃は「Microarchitectural Data Sampling」（MDS）攻撃と呼ばれており、過去8年間に発売されたほとんどのIntel製CPUがこの問題の影響を受けるという。
Microsoftによれば、ユーザーは2種類のアップデートを適用する必要がある。1つめは、Intelやその他のOEM企業（デバイスメーカー）が提供するファームウェアのマイクロコードに対するアップデートだ。
またMicrosoftがこの日公開した、「Windows」と「Windows Server」向けのOSのアップデートも適用する必要がある。「HoloLens」と「SQL Server」向けのパッチも公開されている。
残念ながらMicrosoftは、本記事執筆時点では、以下のシステムに対するCPUのマイクロコードのアップデートは提供されていないと述べている。
- x64ベースシステムのWindows 10バージョン1803
- Windows Serverバージョン1803（Server Coreインストール）
- x64ベースシステムのWindows 10バージョン1809
- Windows Server 2019
- Windows Server 2019（Server Coreインストール）
Microsoftは、同社のクラウドベースのサービスにはすでにパッチを適用済みで、MDS攻撃に対して安全だと述べている。
また同社は、マイクロコードのアップデートとソフトウェアに対するパッチをインストールするとパフォーマンスに悪影響が出ると警告しているが、影響は限定的だとしている。MDS攻撃に対する追加的な保護手段として、Intel CPUのハイパースレッディング（Simultaneous Multi Threading：SMTとも呼ばれる）を無効化する方法もあるが、これを実行した場合、Windowsシステムではパフォーマンスが大きく低下するという。
その他の詳細
今月の月例パッチに含まれているもう1つの重要な修正内容は、リモートデスクトップサービスに存在するワームに利用可能な脆弱性（CVE-2019-0708）だ。MicrosoftはWindows XPやWindows Server 2003に対してもこの問題を修正するパッチを提供すると決定した。
Microsoftの月例パッチ公開スケジュールに合わせて、AdobeやAppleも同日にセキュリティアップデートを公開している。
今月の月例パッチの詳細に関しては、Microsoftのセキュリティ更新プログラムガイドを参照してほしい。
この記事は海外CBS Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。
