Microsoft 2022-09 月例アップデートは２件のゼロデイと 63件の脆弱性に対応

Microsoft September 2022 Patch Tuesday fixes zero-day used in attacks, 63 flaws

2022/09/13 BleepingComputer — 今日は Microsoft の September 2022 Patch Tuesday であり、活発に悪用されている Windows の脆弱性を含めて、合計で 63件の不具合が修正された。本日のアップデートで修正された 63件の脆弱性のうち 5件は、最も深刻なタイプの脆弱性である、リモートコード実行を許すものであり、Critical に分類されている。

各脆弱性のカテゴリーに含まれるバグの数は、以下のとおりである。

  • 特権昇格の脆弱性：18件
  • セキュリティ機能回避の脆弱性：1件
  • リモートコード実行の脆弱性：30件
  • 情報漏えいの脆弱性：7件
  • サービス拒否の脆弱性：7件
  • Edge-Chromium の脆弱性：16件

上記の件数には、Patch Tuesday 以前に Microsoft Edgeで修正された、別の 16件の脆弱性は含まれていない。

セキュリティ以外の Windows 更新プログラムについては、今日の Windows 10 KB5017308／KB5017315 更新プログラムおよび、Windows 11 KB5017328 更新プログラムを参照してほしい。

２つのゼロデイが修正されたが１つは活発に悪用されている

今月の Patch Tuesday では、一般に公開されている２つのゼロデイ脆弱性が修正されたが、そのうちの１つは積極的に悪用されている。

Microsoft では、公式な修正プログラムがなないもの、一般に公開されているもの、そして、積極的に悪用されているものを、ゼロデイ脆弱性として分類している。

今日のアップデートで修正された、積極的に悪用されるゼロデイ脆弱性 CVE-2022-37969 は、 Windows Common Log File System Driver Elevation of Privilege Vulnerability としても追跡／調査されている。Microsoft は、「この脆弱性の悪用に成功した攻撃者は、SYSTEM 権限を得ることが可能だ」とアドバイザリで述べている。

この悪用されている脆１弱性は、DBAPPSecurity／Mandiant／CrowdStrike／Zscaler の研究者たちにより発見された。しかし、脅威者が手動で使用したのか、マルウェアを通じて使用したのか、現時点では詳細が不明である。

もう１つの公開されたゼロデイ脆弱性 CVE-2022-23960 は、 Arm Cache Speculation Restriction Vulnerability としても追跡されている。この修正は、2022年3月に VUSec の研究者により公開された、Branch History Injection (BHI) の投機的実行の脆弱性に対するものだ。

他社による最近のアップデート

2022年9月にアップデートを公開したベンダーは以下の通りである。

  • Adobe：７つのプログラムのセキュリティ・アップデートをリリース。
  • Apple：iPhone／Mac のハッキングに利用される8つ目のゼロデイを修正。
  • Cisco：多数の製品のセキュリティ・アップデートをリリース。
  • Google：Android の9月アップデートと、Chrome のゼロデイを修正。
  • SAP：9月の2022 Patch Day のアップデートを公開。
  • Trend Micro：Apex One RCE 脆弱性の活発な悪用を警告。
  • VMware：VMware Tools の権限昇格の脆弱性に対するアップデートを公開。

September 2022 Patch Tuesday の 全リストは、ココで参照できる。

Microsoft の September 2022 Patch Tuesday ですが、この中に含まれるゼロデイの CVE-2022-37969 は、 Windows Common Log File System に存在する危険な脆弱性のようです。この記事のあとに、直ぐに「Microsoft 警告：Windows CLFS 脆弱性 CVE-2022-37969 などの悪用を検知」という記事をポストしますので、詳しくは、そちらを ご参照ください。