パッチ火曜日: Internet Explorer の脆弱性が修正されました

Microsoftの月例アップデートで展開された約117件のパッチのうち、Internet Explorerのエンジンへの侵入とリモートデスクトッププロトコルサービスの脆弱性が上位を占めています。ほぼ同時期に、AppleはmacOS 15向けの修正プログラムをリリースし、一部のサードパーティ製セキュリティツールの機能を復元しました。

Patch Tuesday は、管理者にとって、アプリケーションとセキュリティ サービスが最新であることを確認するための便利なリマインダーです。

Microsoft 管理コンソールの脆弱性が悪用される

マイクロソフトのセキュリティ上の脆弱性が減少したというこれまでの報告にもかかわらず、このテクノロジー大手は依然としてサイバー攻撃の格好の標的となっている。

10月のパッチリストの中で最も深刻な脆弱性は、CVE-2024-43572でしょう。これはMicrosoft管理コンソールの脆弱性であり、悪用されています。この脆弱性は悪意のある.mscファイルを利用して攻撃を仕掛けますが、Microsoftのパッチでは信頼できない.mscファイルの使用を禁止しています。技術的にはリモートコード実行に該当しますが、攻撃者は最初のアクセスを得るために、ユーザーとやり取りする必要があります。おそらくソーシャルエンジニアリングなどがその例でしょう。

マイクロソフトは次のように述べています。「タイトルにある『Remote』という言葉は、攻撃者の所在地を示しています。このタイプのエクスプロイトは、任意コード実行（ACE）と呼ばれることもあります。攻撃自体はローカルで実行されます。」

参照: 企業のメールを偽装して偽の Microsoft 通知を送信する脅威アクターに注意してください。

CVE-2024-43573 は、Microsoft Edge の Internet Explorer モードの背後にあるエンジンである MSHTML プラットフォームに起因します。

「この脆弱性を悪用すると、攻撃者はユーザーを騙して悪意のあるウェブコンテンツを閲覧させる可能性があります。プラットフォームが特定のウェブ要素を処理する方法によっては、そのコンテンツは正当なコンテンツに見える可能性があります」と、Immersive Labsのサイバーセキュリティエンジニア、ニコラス・セメリキッチ氏はTechRepublicへのメールで述べています。「ユーザーが騙されてこのコンテンツにアクセスしてしまうと（通常はフィッシング攻撃を通じて）、攻撃者は機密情報への不正アクセスやウェブベースのサービスの不正操作を行う可能性があります。」

Internet Explorer に関する言及は時代遅れのように聞こえるかもしれませんが、この脆弱性は今でも積極的に悪用されています。

「Internet Explorerは多くのプラットフォームで廃止されていますが、その基盤となるMSHTMLテクノロジーは依然として有効であり、脆弱です」とセメリキッチ氏は述べています。「これは、従業員が日常業務の一環としてこれらの古いシステムを使用している際に、特に機密データにアクセスしたり、オンラインで金融取引を行ったりする際に、リスクをもたらします。」

Microsoft は、10 月の IE 累積更新プログラムのリリースで、MSHTML プラットフォームの脆弱性を修正しました。

2024年10月に修正されるその他の重要なMicrosoftの脆弱性

10 月の Patch Tuesday で対処された問題は次のとおりです。

• CVE-2024-6197は、Windowsがアドバイザリとして再公開したcurlの脆弱性です。この脆弱性により、リモートコード実行が発生する可能性があります。
• CVE-2024-43609 により、ユーザーは Microsoft Office アカウントを偽装してファイルにアクセスできるようになります。
• CVE-2024-43582、リモート デスクトップ プロトコル サービスにおける解放済みメモリ使用の脆弱性。リモート コード実行が可能になる可能性があります。

Apple、Sequoiaのセキュリティツールの突破を阻止

Appleが10月3日に公開したmacOS 15 Sequoiaの「新機能」アップデートには、「サードパーティ製セキュリティソフトウェアとの互換性を向上」という項目が含まれていました。TechCrunchの報道によると、CrowdStrike、SentinelOne、Microsoftのセキュリティ製品は、この新しいオペレーティングシステムを搭載した多くのMacで動作していなかったとのことです。

こちらもご覧ください

• VPN はハッキングされる可能性がありますか?
• 生成AI「脱獄」攻撃の20%が成功
• 2024年版サイバー脅威ハンティングツール トップ7
• サイバーセキュリティ：さらに読むべき記事