本記事は、Security Research & Defense のブログ “Assessing risk for the July 2013 security updates” (2013 年 7 月 10 日公開) を翻訳した記事です。
本日、私たちは 34 件の CVE を解決する 7 件のセキュリティ情報をリリースしました。セキュリティ情報の内、6 件は最大深刻度が「緊急」、そして 1 件が「重要」でした。お客様の環境に最適な更新プログラムの適用優先順位の決定が行えるよう、以下の表をご活用ください。
セキュリティ情報 | 最も起こりうる攻撃 | セキュリティ情報最大深刻度 | 最大悪用可能性指標 | 公開 30 日以内の影響 | プラットフォーム緩和策、および特記事項 |
(Internet Explorer) | 被害者が、悪意のある Web ページを閲覧する。 | 緊急 | 1 | 30 日以内に悪用コードが作成される可能性があります | 17 件の CVE が解決されました。 |
(win32k.sys および TTF フォントの解析) | 大抵の悪用される可能性のある攻撃ベクターは、攻撃者が既にマシン上でコードを実行していることを必須条件としていて、その後、特権の低いアカウントからシステムに昇格するためにこの脆弱性を利用します。 その他攻撃ベクターは、TTF フォント ファイルを出す、悪意のあるWeb ページを被害者が閲覧するよう影響を与え、結果として、システムとしてコードが実行されます。 | 緊急 | 1 | 一般に公開されている POC 悪用コードが、CVE-2013-3660 に対して存在しています。 | 一般に公開されている EPATHOBJ 問題 (CVE-2013-3660) がこの更新プログラムによって解決されました。 TTF フォントの解析問題 (CVE-2013-3219) の、カーネル モード部分がこの更新プログラムによって解決されました。 |
(.NET Framework および Silverlight) | 被害者が、Web サイトがホストした、悪意のある Silverlight アプリケーションを閲覧する。 | 緊急 | 1 | 30 日以内に悪用コードが作成される可能性があります | .NET Framework および Silverlight が TTF フォントの解析問題 (CVE-2013-3129) にさらされることが、この更新プログラムによって解決されました。 |
(GDI+) | 被害者が、フォントの解析に GDI+ を活用するアプリケーションを利用して、悪意のある TTF ファイルを開く。 | 緊急 | 1 | 30 日以内に悪用コードが作成される可能性があります | ユーザー モード (gdiplus.dll) が TTF フォントの解析問題 (CVE-2013-3129) にさらされることが、この更新プログラムによって解決されました。 |
(DirectShow) | 被害者が、DirectShow ライブラリを活用する、サード パーティのアプリケーションを利用して、悪意のある .GIF ファイルを開く。 | 緊急 | 1 | 30 日以内に悪用コードが作成される可能性があります | この更新プログラムによって解決された 1 件の CVE に対し、脆弱性のあるマイクロソフトのエンド ユーザー アプリケーションはありません。 |
(Windows Media) | 被害者が、悪意のある Web ページを閲覧する、もしくは、悪意のあるWindows Media ファイルを開く。 | 緊急 | 2 | この脆弱性について、悪用コードを作成するのは困難です。日以内に悪用コードが作成される可能性は低いです。 | 1 件の CVE が解決されました。 |
(Windows Defender) | システム ドライブ (C:\) に書き込む権限のある攻撃者が、署名更新プロセスの最中に、Windows Defender によってローカル システムとして稼働する悪意のあるファイルをセットします。 | 重要 | 1 | 30 日以内に悪用コードが作成される可能性があります。 特権が低いユーザーは、デフォルトでシステム ドライブのルートに書きこむことができないため、広範囲の感染の可能性は低いです。 | この更新プログラムが解決する脆弱性を悪用するためには、攻撃者が、システム ドライブのルートに新規ファイルを作成する権限を持っていなければなりません。 (C:\malicious.exe) |
ジョナサン・ネス、MSRC エンジニアリング