今月のマイクロソフトパッチリリースブログをお届けします。今月は、31 件の脆弱性を対象として 7 つのセキュリティ情報がリリースされています。このうち 25 件が「緊急」レベルです。
いつものことですが、ベストプラクティスとして以下のセキュリティ対策を講じることを推奨します。
- ベンダーのパッチが公開されたら、できるだけ速やかにインストールする。
- ソフトウェアはすべて、必要な機能を使える最小限の権限で実行する。
- 未知の、または疑わしいソースからのファイルは扱わない。
- 整合性が未知の、または疑わしいサイトには絶対にアクセスしない。
- 特定のアクセスが必要な場合を除いて、ネットワークの周辺部では重要なシステムへの外部からのアクセスを遮断する。
マイクロソフトの 2 月のリリースに関する概要は、次のページで公開されています。
http://technet.microsoft.com/ja-jp/security/bulletin/ms14-feb
今月のパッチで対処されている問題の一部について、詳しい情報を以下に示します。
MS14-010 Internet Explorer 用の累積的なセキュリティ更新プログラム（2909921）
Internet Explorer の特権昇格の脆弱性（CVE-2014-0268）MS の深刻度: 重要
ローカルファイルインストールを検証するとき、またはレジストリキーを安全に作成するときに、Internet Explorer に特権昇格の脆弱性が存在します。
VBScript のメモリ破損の脆弱性（CVE-2014-0271）MS の深刻度: 緊急
VBScript エンジンがメモリ内のオブジェクトを処理する方法に、リモートコード実行の脆弱性が存在します。この脆弱性によってメモリが破損し、攻撃者が現在のユーザーのコンテキストで任意のコードを実行できる場合があります。現在のユーザーが管理者ユーザー権限でログオンしている場合は、この脆弱性の悪用に成功した攻撃者が、影響を受けるシステムを完全に制御する可能性があります。攻撃者はその後、プログラムのインストール、データの表示、変更、削除、完全なユーザー権限を持つ新しいアカウントの作成ができる場合があります。
Internet Explorer にクロスドメインの情報漏えいの脆弱性（CVE-2014-0293）MS の深刻度: 重要
Internet Explorer に情報漏えいの脆弱性が存在するため、攻撃者は他のドメインまたは Internet Explorer ゾーンの情報にアクセスできる場合があります。攻撃者が、特別に細工された Web ページを作成してこの脆弱性を悪用すると、ユーザーがその Web サイトを開いたときに情報が漏えいしてしまいます。攻撃者がこの脆弱性の悪用に成功すると、他のドメインまたは Internet Explorer ゾーンからコンテンツを閲覧できる場合があります。
Internet Explorer のメモリ破損の脆弱性（CVE-2014-0267）MS の深刻度: 緊急
Internet Explorer のメモリ内のオブジェクトへのアクセスが不適切な場合に、リモートコード実行の脆弱性が存在します。この脆弱性によってメモリが破損し、攻撃者が現在のユーザーのコンテキストで任意のコードを実行できる場合があります。
Internet Explorer のメモリ破損の脆弱性（CVE-2014-0269）MS の深刻度: 緊急
Internet Explorer のメモリ内のオブジェクトへのアクセスが不適切な場合に、リモートコード実行の脆弱性が存在します。この脆弱性によってメモリが破損し、攻撃者が現在のユーザーのコンテキストで任意のコードを実行できる場合があります。
Internet Explorer のメモリ破損の脆弱性（CVE-2014-0270）MS の深刻度: 緊急
Internet Explorer のメモリ内のオブジェクトへのアクセスが不適切な場合に、リモートコード実行の脆弱性が存在します。この脆弱性によってメモリが破損し、攻撃者が現在のユーザーのコンテキストで任意のコードを実行できる場合があります。
Internet Explorer のメモリ破損の脆弱性（CVE-2014-0272）MS の深刻度: 緊急
Internet Explorer のメモリ内のオブジェクトへのアクセスが不適切な場合に、リモートコード実行の脆弱性が存在します。この脆弱性によってメモリが破損し、攻撃者が現在のユーザーのコンテキストで任意のコードを実行できる場合があります。
Internet Explorer のメモリ破損の脆弱性（CVE-2014-0273）MS の深刻度: 緊急
Internet Explorer のメモリ内のオブジェクトへのアクセスが不適切な場合に、リモートコード実行の脆弱性が存在します。この脆弱性によってメモリが破損し、攻撃者が現在のユーザーのコンテキストで任意のコードを実行できる場合があります。
Internet Explorer のメモリ破損の脆弱性（CVE-2014-0274）MS の深刻度: 緊急
Internet Explorer のメモリ内のオブジェクトへのアクセスが不適切な場合に、リモートコード実行の脆弱性が存在します。この脆弱性によってメモリが破損し、攻撃者が現在のユーザーのコンテキストで任意のコードを実行できる場合があります。
Internet Explorer のメモリ破損の脆弱性（CVE-2014-0275）MS の深刻度: 緊急
Internet Explorer のメモリ内のオブジェクトへのアクセスが不適切な場合に、リモートコード実行の脆弱性が存在します。この脆弱性によってメモリが破損し、攻撃者が現在のユーザーのコンテキストで任意のコードを実行できる場合があります。
Internet Explorer のメモリ破損の脆弱性（CVE-2014-0276）MS の深刻度: 緊急
Internet Explorer のメモリ内のオブジェクトへのアクセスが不適切な場合に、リモートコード実行の脆弱性が存在します。この脆弱性によってメモリが破損し、攻撃者が現在のユーザーのコンテキストで任意のコードを実行できる場合があります。
Internet Explorer のメモリ破損の脆弱性（CVE-2014-0277）MS の深刻度: 緊急
Internet Explorer のメモリ内のオブジェクトへのアクセスが不適切な場合に、リモートコード実行の脆弱性が存在します。この脆弱性によってメモリが破損し、攻撃者が現在のユーザーのコンテキストで任意のコードを実行できる場合があります。
Internet Explorer のメモリ破損の脆弱性（CVE-2014-0278）MS の深刻度: 緊急
Internet Explorer のメモリ内のオブジェクトへのアクセスが不適切な場合に、リモートコード実行の脆弱性が存在します。この脆弱性によってメモリが破損し、攻撃者が現在のユーザーのコンテキストで任意のコードを実行できる場合があります。
Internet Explorer のメモリ破損の脆弱性（CVE-2014-0279）MS の深刻度: 緊急
Internet Explorer のメモリ内のオブジェクトへのアクセスが不適切な場合に、リモートコード実行の脆弱性が存在します。この脆弱性によってメモリが破損し、攻撃者が現在のユーザーのコンテキストで任意のコードを実行できる場合があります。
Internet Explorer のメモリ破損の脆弱性（CVE-2014-0280）MS の深刻度: 緊急
Internet Explorer のメモリ内のオブジェクトへのアクセスが不適切な場合に、リモートコード実行の脆弱性が存在します。この脆弱性によってメモリが破損し、攻撃者が現在のユーザーのコンテキストで任意のコードを実行できる場合があります。
Internet Explorer のメモリ破損の脆弱性（CVE-2014-0281）MS の深刻度: 緊急
Internet Explorer のメモリ内のオブジェクトへのアクセスが不適切な場合に、リモートコード実行の脆弱性が存在します。この脆弱性によってメモリが破損し、攻撃者が現在のユーザーのコンテキストで任意のコードを実行できる場合があります。
Internet Explorer のメモリ破損の脆弱性（CVE-2014-0283）MS の深刻度: 緊急
Internet Explorer のメモリ内のオブジェクトへのアクセスが不適切な場合に、リモートコード実行の脆弱性が存在します。この脆弱性によってメモリが破損し、攻撃者が現在のユーザーのコンテキストで任意のコードを実行できる場合があります。
Internet Explorer のメモリ破損の脆弱性（CVE-2014-0284）MS の深刻度: 緊急
Internet Explorer のメモリ内のオブジェクトへのアクセスが不適切な場合に、リモートコード実行の脆弱性が存在します。この脆弱性によってメモリが破損し、攻撃者が現在のユーザーのコンテキストで任意のコードを実行できる場合があります。
Internet Explorer のメモリ破損の脆弱性（CVE-2014-0285）MS の深刻度: 緊急
Internet Explorer のメモリ内のオブジェクトへのアクセスが不適切な場合に、リモートコード実行の脆弱性が存在します。この脆弱性によってメモリが破損し、攻撃者が現在のユーザーのコンテキストで任意のコードを実行できる場合があります。
Internet Explorer のメモリ破損の脆弱性（CVE-2014-0286）MS の深刻度: 緊急
Internet Explorer のメモリ内のオブジェクトへのアクセスが不適切な場合に、リモートコード実行の脆弱性が存在します。この脆弱性によってメモリが破損し、攻撃者が現在のユーザーのコンテキストで任意のコードを実行できる場合があります。
Internet Explorer のメモリ破損の脆弱性（CVE-2014-0287）MS の深刻度: 緊急
Internet Explorer のメモリ内のオブジェクトへのアクセスが不適切な場合に、リモートコード実行の脆弱性が存在します。この脆弱性によってメモリが破損し、攻撃者が現在のユーザーのコンテキストで任意のコードを実行できる場合があります。
Internet Explorer のメモリ破損の脆弱性（CVE-2014-0288）MS の深刻度: 緊急
Internet Explorer のメモリ内のオブジェクトへのアクセスが不適切な場合に、リモートコード実行の脆弱性が存在します。この脆弱性によってメモリが破損し、攻撃者が現在のユーザーのコンテキストで任意のコードを実行できる場合があります。
Internet Explorer のメモリ破損の脆弱性（CVE-2014-0289）MS の深刻度: 緊急
Internet Explorer のメモリ内のオブジェクトへのアクセスが不適切な場合に、リモートコード実行の脆弱性が存在します。この脆弱性によってメモリが破損し、攻撃者が現在のユーザーのコンテキストで任意のコードを実行できる場合があります。
Internet Explorer のメモリ破損の脆弱性（CVE-2014-0290）MS の深刻度: 緊急
Internet Explorer のメモリ内のオブジェクトへのアクセスが不適切な場合に、リモートコード実行の脆弱性が存在します。この脆弱性によってメモリが破損し、攻撃者が現在のユーザーのコンテキストで任意のコードを実行できる場合があります。
MS14-011 VBScript スクリプトエンジンの脆弱性により、リモートでコードが実行される（2928390）
VBScript のメモリ破損の脆弱性（CVE-2014-0271）MS の深刻度: 緊急
VBScript エンジンがメモリ内のオブジェクトを処理する方法に、リモートコード実行の脆弱性が存在します。この脆弱性によってメモリが破損し、攻撃者が現在のユーザーのコンテキストで任意のコードを実行できる場合があります。現在のユーザーが管理者ユーザー権限でログオンしている場合は、この脆弱性の悪用に成功した攻撃者が、影響を受けるシステムを完全に制御する可能性があります。攻撃者はその後、プログラムのインストール、データの表示、変更、削除、完全なユーザー権限を持つ新しいアカウントの作成ができる場合があります。
MS14-007 Direct2D の脆弱性により、リモートでコードが実行される（2912390）
Microsoft Graphics コンポーネントのメモリ破損の脆弱性（CVE-2014-0263）MS の深刻度: 緊急
影響を受ける Windows コンポーネントが、特別に細工された 2D の幾何学図形を処理する方法に、リモートコード実行の脆弱性が存在します。この脆弱性により、特別に細工された図形を含むファイルをユーザーが Internet Explorer を使用して開いた場合に、リモートでコードが実行される場合があります。攻撃者がこの脆弱性の悪用に成功すると、影響を受けるシステムを完全に制御できる恐れがあります。攻撃者はその後、プログラムのインストール、データの表示、変更、削除、完全な管理者権限を持つ新しいアカウントの作成ができる場合があります。
MS14-008 Microsoft Forefront Protection for Exchange の脆弱性により、リモートでコードが実行される（2927022）
RCE の脆弱性（CVE-2014-0294）MS の深刻度: 緊急
Forefront Protection for Exchange にリモートコード実行の脆弱性が存在します。攻撃者がこの脆弱性の悪用に成功すると、構成されているサービスアカウントのセキュリティコンテキストで任意のコードを実行できる場合があります。
MS14-009 .NET Framework の脆弱性により、特権が昇格される（2916607）
POST 要求の DoS の脆弱性（CVE-2014-0253）MS の深刻度: 重要
Microsoft ASP.NET にサービス拒否の脆弱性が存在するため、攻撃者の攻撃が可能になり、ASP.NET サーバーが応答しなくなる可能性があります。
型トラバーサルの脆弱性（CVE-2014-0257）MS の深刻度: 重要
Microsoft.NET Framework に特権昇格の脆弱性が存在するため、攻撃者は標的となったシステムで特権を昇格できる可能性があります。
VSAVB7RT ASLR の脆弱性（CVE-2014-0295）MS の深刻度: 重要
Address Space Layout Randomization（ASLR）を適切に実装しない .NET Framework コンポーネントに、セキュリティ機能回避の脆弱性が存在します。この脆弱性により、攻撃者は ASLR セキュリティ機能を回避し、その後、プロセス内に悪質なコードを追加で読み込み、別の脆弱性を悪用しようとする可能性があります。
MS14-005 Microsoft XML コアサービスの脆弱性により、情報漏えいが起こる（2916036）
MSXML の情報漏えいの脆弱性（CVE-2014-0266）MS の深刻度: 重要
情報漏えいの脆弱性が存在するため、攻撃者はユーザーのローカルファイルシステムのファイルを読み取ったり、ユーザーが現在認証されている Web ドメインのコンテンツを読み取る可能性があります。Internet Explorer を介して MSXML を呼び出すように特別に細工された Web コンテンツをユーザーが表示した際に、攻撃者がこの脆弱性を悪用する可能性があります。
MS14-006 IPv6 の脆弱性により、サービス拒否が起こる（2904659）
TCP/IP Version 6（IPv6）のサービス拒否の脆弱性（CVE-2014-0254）MS の深刻度: 重要
Windows における TCP/IP の IPv6 実装に、サービス拒否の脆弱性が存在します。攻撃者がこの脆弱性の悪用に成功すると、影響を受けるシステムが応答を停止する可能性があります。
今月対処されている脆弱性についての詳しい情報は、シマンテックが無償で公開している SecurityFocusポータルでご覧いただくことができ、製品をご利用のお客様は DeepSight Threat Management System を通じても情報を入手できます。
* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/jaにアクセスしてください。