「Microsoft Word」「Microsoft Stream Services」などが対象 JPCERT／CCがセキュリティ更新プログラムの適用を呼び掛け：既に悪用が確認されている脆弱性も

JPCERTコーディネーションセンターは、Microsoftが公開したセキュリティ更新プログラムを早急に適用するよう促した。「Microsoftが提供する最新の情報を参考に、対策適用の検討を推奨する」としている。

[＠IT]

　JPCERTコーディネーションセンター（JPCERT／CC）は2023年9月13日、Microsoftが公開したセキュリティ更新プログラムについて注意喚起を促した。脆弱（ぜいじゃく）性が悪用された場合、リモートからの攻撃によって任意のコードが実行されるなどの危険性があるため、「更新プログラムの早急な適用が必要」としている。

プレスリリース

「悪用される可能性が高い」脆弱性は12件

　Microsoftが公開した2023年9月のセキュリティ更新プログラムは59件のCVE（Common Vulnerabilities and Exposures）に対応している。特に「Microsoft Word」の情報漏えいの脆弱性（CVE-2023-36761）と「Microsoft Stream Services」のプロキシの特権の昇格の脆弱性（CVE-2023-36802）については、「既に悪用されていることを確認している」という。

　Windows Updateなどを用いてセキュリティ更新プログラムを適用することで対処可能なため、JPCERT／CCは「Microsoftが提供する最新の情報を参考に、対策適用を検討してほしい」としている。

　以下、更新プログラムの内容について触れる。

　セキュリティ更新プログラムのリリースノートによると、ベーススコアで最も高いもので8.8。対象の製品、サービスは次の5つ。

• Azure DevOps
• Microsoft Office SharePoint
• Windows Themes
• Microsoft Windows Codecs Library
• Windows インターネット接続の共有

　リリースノートには「悪用可能性」という指標もある。2件が「悪用の事実を確認済み」となっているが、こちらは前述したMicrosoft WordとMicrosoft Stream Servicesのことだ。2番目に脅威となる「悪用される可能性が高い」は12件あり、その中にはベーススコアが高い「Windows インターネット接続の共有」が含まれているので特に注意が必要だ。