マイクロソフト、12月の月例パッチ公開--脆弱性67件を修正

Charlie Osborne （ZDNET.com）翻訳校正：編集部

2021-12-15 12:18

　Microsoftは、7件の深刻な問題とサイバー犯罪者が活発に悪用しているゼロデイ脆弱性1件を含むセキュリティフィックス67件をリリースした。

　Microsoftは12月の月例セキュリティパッチ「Patch Tuesday」で、リモートコード実行（RCE）の脆弱性、特権昇格のセキュリティ脆弱性、なりすましの脆弱性、サービス拒否（DoS）の脆弱性など、ソフトウェアのさまざまな問題を修正した。

　12月のセキュリティ更新プログラムの影響を受ける製品には、「Microsoft Office」「Microsoft PowerShell」「Chromium」ベースの「Edge」ブラウザー、「Windows Kernel」「Print Spooler」「Remote Desktop Client」などがある。

　今回の更新プログラムで解決された最も深刻な脆弱性には、合計6件のゼロデイ脆弱性が含まれるが、実際に活発に悪用されていることが判明しているのは1件だ。

CVE-2021-43890：この「Windows AppX Installer」のゼロデイ脆弱性は、なりすましに悪用されるおそれがある。深刻度を評価するCVSSのスコアは7.1で、「重要」と評価されている。この脆弱性は、一般に知られており、実際に悪用されている。Microsoftは、「特別に細工されたパッケージを使用してこの脆弱性を悪用しようとする攻撃を認識」しており、「Emotet」「Trickbot」「Bazaloader」マルウェアファミリーを拡散するために、この脆弱性が武器化されていることも把握している、と述べた。
CVE-2021-41333：CVSSで7.8と評価されたこのWindows Print Spoolerの特権昇格の脆弱性はすでに公開されており、攻撃条件の複雑さは低い。
CVE-2021-43880：このセキュリティ脆弱性は、「Windows Mobile Device Management」の特権昇格（EoP）の脆弱性で、ローカルの攻撃者によって、システム上の標的ファイルを削除されるおそれがあるという。
CVE-2021-43893：この問題（CVSSスコアは7.5）は、「Google Project Zero」のJames Forshaw氏によって報告された。Microsoftによると、「Windows Encrypting File System」（EFS）のEoPの脆弱性であるという。
CVE-2021-43240：Microsoftによると、CVSSで7.8と評価されたこの脆弱性は、「NTFS Set Short Name」の特権昇格の脆弱性だという。概念実証のエクスプロイトコードが利用可能で、一般に知られている。
CVE-2021-43883：最後のゼロデイ脆弱性はWindows Installerに影響を及ぼす。この問題（CVSSスコアは7.8）は不正な特権昇格を許可してしまう可能性がある。