今月のマイクロソフトパッチリリースブログをお届けします。今月は、20 件の脆弱性を対象として 7 つのセキュリティ情報がリリースされています。このうち 12 件が「緊急」レベルです。
いつものことですが、ベストプラクティスとして以下のセキュリティ対策を講じることを推奨します。
- ベンダーのパッチが公開されたら、できるだけ速やかにインストールする。
- ソフトウェアはすべて、必要な機能を使える最小限の権限で実行する。
- 未知の、または疑わしいソースからのファイルは扱わない。
- 整合性が未知の、または疑わしいサイトには絶対にアクセスしない。
- 特定のアクセスが必要な場合を除いて、ネットワークの周辺部では重要なシステムへの外部からのアクセスを遮断する。
マイクロソフトの 3 月のリリースに関する概要は、次のページで公開されています。
http://technet.microsoft.com/ja-jp/security/bulletin/ms13-Mar
今月のパッチで対処されている問題の一部について、詳しい情報を以下に示します。
MS13-021 Internet Explorer 用の累積的なセキュリティ更新プログラム
Internet Explorer OnResize の解放後使用の脆弱性（CVE-2013-0087）MS の深刻度: 緊急
Internet Explorer が、削除されたメモリ内のオブジェクトにアクセスする方法に、リモートコード実行の脆弱性が存在します。この脆弱性によってメモリが破損し、攻撃者が現在のユーザーのコンテキストで任意のコードを実行できる場合があります。
Internet Explorer saveHistory の解放後使用の脆弱性（CVE-2013-0088）MS の深刻度: 緊急
Internet Explorer が、削除されたメモリ内のオブジェクトにアクセスする方法に、リモートコード実行の脆弱性が存在します。この脆弱性によってメモリが破損し、攻撃者が現在のユーザーのコンテキストで任意のコードを実行できる場合があります。
Internet Explorer CMarkupBehaviorContext の解放後使用の脆弱性（CVE-2013-0089）MS の深刻度: 緊急
Internet Explorer が、削除されたメモリ内のオブジェクトにアクセスする方法に、リモートコード実行の脆弱性が存在します。この脆弱性によってメモリが破損し、攻撃者が現在のユーザーのコンテキストで任意のコードを実行できる場合があります。
Internet Explorer CCaret の解放後使用の脆弱性（CVE-2013-0090）MS の深刻度: 緊急
Internet Explorer が、削除されたメモリ内のオブジェクトにアクセスする方法に、リモートコード実行の脆弱性が存在します。この脆弱性によってメモリが破損し、攻撃者が現在のユーザーのコンテキストで任意のコードを実行できる場合があります。
Internet Explorer CElement の解放後使用の脆弱性（CVE-2013-0091）MS の深刻度: 緊急
Internet Explorer が、削除されたメモリ内のオブジェクトにアクセスする方法に、リモートコード実行の脆弱性が存在します。この脆弱性によってメモリが破損し、攻撃者が現在のユーザーのコンテキストで任意のコードを実行できる場合があります。
Internet Explorer GetMarkupPtr の解放後使用の脆弱性（CVE-2013-0092）MS の深刻度: 緊急
Internet Explorer が、削除されたメモリ内のオブジェクトにアクセスする方法に、リモートコード実行の脆弱性が存在します。この脆弱性によってメモリが破損し、攻撃者が現在のユーザーのコンテキストで任意のコードを実行できる場合があります。
Internet Explorer onBeforeCopy の解放後使用の脆弱性（CVE-2013-0093）MS の深刻度: 緊急
Internet Explorer が、削除されたメモリ内のオブジェクトにアクセスする方法に、リモートコード実行の脆弱性が存在します。この脆弱性によってメモリが破損し、攻撃者が現在のユーザーのコンテキストで任意のコードを実行できる場合があります。
Internet Explorer removeChild の解放後使用の脆弱性（CVE-2013-0094）MS の深刻度: 緊急
Internet Explorer が、削除されたメモリ内のオブジェクトにアクセスする方法に、リモートコード実行の脆弱性が存在します。この脆弱性によってメモリが破損し、攻撃者が現在のユーザーのコンテキストで任意のコードを実行できる場合があります。
Internet Explorer CTreeNode の解放後使用の脆弱性（CVE-2013-1288）MS の深刻度: 緊急
Internet Explorer が、削除されたメモリ内のオブジェクトにアクセスする方法に、リモートコード実行の脆弱性が存在します。この脆弱性によってメモリが破損し、攻撃者が現在のユーザーのコンテキストで任意のコードを実行できる場合があります。
MS13-022 Silverlight の緊急の脆弱性により、リモートでコードが実行される
Silverlight の二重逆参照の脆弱性（CVE-2013-0074）MS の深刻度: 緊急
特別に細工された Silverlight アプリケーションに、安全でない方法でのメモリへのアクセスを許可することで Microsoft Silverlight に影響する、リモートコード実行の脆弱性が存在します。攻撃者がこの脆弱性の悪用に成功すると、現在のユーザーのセキュリティコンテキストで任意のコードを実行できる場合があります。攻撃者はその後、プログラムのインストール、データの表示、変更、削除、完全なユーザー権限を持つ新しいアカウントの作成ができる場合があります。コンピューターでのユーザー権限が低い設定のアカウントを持つユーザーは、管理者のユーザー権限で実行しているユーザーよりもこの脆弱性による影響が少ないと考えられます。
MS13-023 Microsoft Visio Viewer 2010 の脆弱性により、リモートでコードが実行される
Visio Viewer のツリーオブジェクトの種類の混同の脆弱性（CVE-2013-0079）MS の深刻度: 緊急
Microsoft Visio Viewer が、特別に細工された Visio ファイルをレンダリングするときにメモリを処理する方法に、リモートコード実行の脆弱性が存在します。攻撃者がこの脆弱性の悪用に成功すると、影響を受けるシステムを完全に制御できる恐れがあります。攻撃者はその後、プログラムのインストール、データの表示、変更、削除、完全なユーザー権限を持つ新しいアカウントの作成ができる場合があります。コンピューターでのユーザー権限が低い設定のアカウントを持つユーザーは、管理者のユーザー権限で実行しているユーザーよりもこの脆弱性による影響が少ないと考えられます。
MS13-024 SharePoint の脆弱性により、特権が昇格される
コールバック関数の脆弱性（CVE-2013-0080）MS の深刻度: 重要
Microsoft SharePoint Server に特権昇格の脆弱性が存在します。攻撃者がこの脆弱性の悪用に成功すると、機密性の高いシステムデータを取得した後で、サーバーに対するアクセス権を昇格できる可能性があります。
SharePoint XSS の脆弱性（CVE-2013-0083）MS の深刻度: 緊急
Microsoft SharePoint Server に特権昇格の脆弱性が存在します。攻撃者がこの脆弱性の悪用に成功すると、サイトの管理ユーザーのコンテキストで SharePoint コマンドを発行できる可能性があります。
SharePoint ディレクトリトラバーサルの脆弱性（CVE-2013-0084）MS の深刻度: 重要
Microsoft SharePoint Server に特権昇格の脆弱性が存在します。攻撃者がこの脆弱性の悪用に成功すると、機密性の高いシステムデータを取得した後で、サーバーに対するアクセス権を昇格できる可能性があります。
バッファーオーバーフローの脆弱性（CVE-2013-0085）MS の深刻度: 警告
Microsoft SharePoint Server にサービス拒否の脆弱性が存在します。攻撃者がこの脆弱性の悪用に成功すると、影響を受けるバージョンの SharePoint Server 上で W3WP プロセスを終了させる可能性があります。その場合、SharePoint サイトや、このプロセスの下で実行されているその他のサイトが使用できなくなり、このプロセスの再起動が必要になります。
MS13-025 Microsoft OneNote の脆弱性により、情報漏えいが起こる
バッファーサイズの検証の脆弱性（CVE-2013-0086）MS の深刻度: 重要
Microsoft OneNote が、特別に細工された OneNote (.ONE) ファイルを解析してメモリを割り当てる方法に、情報漏えいの脆弱性が存在します。
MS13-026 Office Outlook for Mac の脆弱性により、情報漏えいが起こる
意図していないコンテンツが読み込まれる脆弱性（CVE2013-0095）MS の深刻度: 重要
Microsoft Outlook for Mac 2008 および Microsoft Outlook for Mac 2011 が HTML 5 形式の電子メールメッセージに含まれる特定のコンテンツタグを読み込む方法に、情報漏えいの脆弱性が存在します。
MS13-027カーネルモードドライバの脆弱性により、特権が昇格される
Windows USB 記述子の脆弱性（CVE-2013-1285）MS の深刻度: 重要
Windows USB ドライバがメモリ内のオブジェクトを正しく処理しない場合に、特権昇格の脆弱性が存在します。攻撃者がこの脆弱性の悪用に成功すると、カーネルモードで任意のコードを実行できる場合があります。攻撃者はその後、プログラムのインストール、データの表示、変更、削除、完全な管理者権限を持つ新しいアカウントの作成ができる場合があります。
Windows USB 記述子の脆弱性（CVE-2013-1287）MS の深刻度: 重要
Windows USB ドライバがメモリ内のオブジェクトを正しく処理しない場合に、特権昇格の脆弱性が存在します。攻撃者がこの脆弱性の悪用に成功すると、カーネルモードで任意のコードを実行できる場合があります。攻撃者はその後、プログラムのインストール、データの表示、変更、削除、完全な管理者権限を持つ新しいアカウントの作成ができる場合があります。
Windows USB 記述子の脆弱性（CVE-2013-1286）MS の深刻度: 重要
Windows USB ドライバがメモリ内のオブジェクトを正しく処理しない場合に、特権昇格の脆弱性が存在します。攻撃者がこの脆弱性の悪用に成功すると、カーネルモードで任意のコードを実行できる場合があります。攻撃者はその後、プログラムのインストール、データの表示、変更、削除、完全な管理者権限を持つ新しいアカウントの作成ができる場合があります。
今月対処されている脆弱性についての詳しい情報は、シマンテックが無償で公開している SecurityFocusポータルでご覧いただくことができ、製品をご利用のお客様は DeepSight Threat Management System を通じても情報を入手できます。
* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/jaにアクセスしてください。