Microsoft 2022-06 月例アップデートは1件のゼロデイと 55件の脆弱性に対応

Microsoft June 2022 Patch Tuesday fixes 1 zero-day, 55 flaws

2020/06/14 BleepingComputer — 今日は、Microsoft の June 2022 Patch Tuesday の日だ。今月は、Windows MSDT のゼロデイ脆弱性 Follina や Intel MMIO の新しい不具合などの、合計で 55件の脆弱性が修正された。今日のアップデートで修正された 55件の脆弱性のうち、3件はリモート・コード実行を可能にするため深刻度は Critical に分類され、残りは Important に分類されている。なお、今週初めに公開された、Microsoft Edge の Chromium アップデート5件は含まれていない。

各脆弱性のカテゴリーに含まれるバグの数は、以下のとおりである。

  • 12件:特権昇格の脆弱性
  • 1件:セキュリティ機能回避の脆弱性
  • 27件:リモート・コード実行の脆弱性
  • 11件:情報漏えいの脆弱性
  • 3件:サービス拒否の脆弱性
  • 1件:スプーフィング脆弱性

セキュリティ以外の Windows の更新プログラムについては、今日の Windows 10 KB5013942/KB5013945 と、Windows 11 KB5014697 を参照してほしい。

Follina ゼロデイ脆弱性の修正

Microsoft は2022年6月のアップデートの中で、CVE-2022-30190 として採番され、広く悪用されている Windows Follina MSDT のゼロデイ脆弱性を修正した。

先月、Windows Microsoft Diagnostic Tool (MSDT) を介して悪意の PowerShell コマンドを実行させる、新たな Windows ゼロデイ脆弱性が発見されている。この脆弱性は、発見されたときから、Microsoft Office の Protected View を含むすべてのセキュリティ保護をバイパスし、Word 文書を開くだけで PowerShell スクリプトを実行していた。

この新たな脆弱性が発見された直後から、脅威アクターたちによる悪用が始まり、QBot の配布/米国政府機関の標的化/ウクライナの報道機関を狙ったフィッシング攻撃といった、広範囲におよぶアクティビティが確認されている。Microsoft は、この脆弱性に対する緩和策を公開する一方で、パッチを適用については明言していない。

今日、Microsoft は、Windows MSDT の脆弱性に対するセキュリティ更新プログラムを公開しており、それらは2022年6月の累積更新プログラムおよび、Windows Server のセキュリティ更新プログラムに含まれている。

他社の最新アップデート

Other vendors who released updates in June 2022 include:

2022年6月に更新プログラムをリリースした他のベンダーは以下のとおりである。

  • Atlassian:Atlassian Confluence RCE の脆弱性 CVE-2022-26134 に対するパッチをリリースした。
  • GitLab:CVE-2022-1680 に対するセキュリティ・アップデートをリリースした。
  • Google:Google Android/Chrome の6月のセキュリティ・アップデートを公開した。
  • Cisco:多数の製品のセキュリティ・アップデートをリリースした。

Microsoft の June 2022 Patch Tuesday フルレポートは、ココで参照できる。

Microsoft 2022-06 月例アップデートでは、やはり、Windows Follina MSDT のゼロデイ脆弱性 CVE-2022-30190 に注目です。この脆弱性は、Office のセキュリティ保護がバイパスされ、Word 文書を開くだけで PowerShell スクリプトが実行されるというものですが、Follina に加えて DogWalk も出てきたようで、Windows Microsoft Diagnostic Tool (MSDT) の在り方が問われているのかもしれません。

%d bloggers like this: