Microsoft の最新の月次パッチでは、Windows と Internet Explorer に加えて、広く使用されている Exchange Server (Exchange Server 2007 と Exchange Server 2010 の両方のエディション) も対象としています。
「マイクロソフトは今月、巨大なパッチを配布した。頭がくらくらするほどだ」と、セキュリティ企業nCircleのセキュリティオペレーション担当ディレクター、アンドリュー・ストームズ氏は電子メールで述べた。
マイクロソフトは合計 12 件のセキュリティ アップデートをリリースし、57 件の脆弱性をカバーしました。これは同社がこれまでにリリースしたセキュリティ アップデートの中でも最大規模のセットです。
マイクロソフトは、12 件の更新プログラムのうち 5 件を「重大」と評価し、残りの 7 件を「重要」と評価しました。
Microsoft Exchange の導入を監督するシステム管理者は、Microsoft の最新のセキュリティ パッチを注意深く確認する必要があります。
まずIEにパッチを当てる
NCircleは、組織に対し、まずInternet Explorerの2つの重要なパッチを適用することを推奨しています。「これらのリモート実行バグはどちらも深刻なセキュリティリスクであるため、すべてにパッチを適用し、迅速に適用する必要があります」とStorms氏は記しています。この2つの重要なパッチは、ブラウザのバージョン6から10までを対象としています。
「両方のセキュリティ情報は、被害者がウェブサイトを閲覧するだけで悪意のあるコードに感染する『ドライブバイバグ』を修正する」とストームズ氏は書いている。
Microsoft セキュリティ情報 MS13-010 では、Internet Explorer の Vector Markup Language (VML) 実装における脆弱性について説明されており、リモートコード実行の可能性があります。Microsoft によると、この脆弱性は既に 1 件の攻撃で利用されており、今後 30 日以内にさらなる攻撃が発生すると予想されています。
同じくInternet Explorerを対象としたMS13-009では、ブラウザのコードベースの重複するセクションに発見された13件の異なる脆弱性について説明されており、1つのアップデートにまとめられています。Microsoftは、これらの脆弱性が今後30日以内に悪用される可能性があると予測しています。
NCircle はまた、管理者は Explorer にパッチを適用するだけでなく、Adobe が火曜日にリリースした Flash 用、および使用している場合は Shockwave 用のパッチも適用すべきだとアドバイスしている。
「最低限のことしかする時間がないのであれば、Internet ExplorerとFlashに直ちにパッチを当てるべきです」とストームズ氏は書いている。
Windowsアップデート
Windowsには2つの重要なアップデートがあります。Windows XP、Windows Server 2003、Windows Vista、Windows Server 2008については、MS13-011でWindows Media Playerの重大な脆弱性が修正されています。この脆弱性により、メディアファイルが解凍された際に埋め込まれたコードが実行される可能性があります。また、Windows XP SP3については、MS13-020でリモートコード実行につながる可能性のある脆弱性も修正されています。この脆弱性は、ユーザーがMicrosoft WordまたはWordpadで、ActiveXコントロールが秘密裏に埋め込まれたRTF（リッチテキスト形式ドキュメント）を開いた場合に発生します。
5 番目の重要な更新では、Microsoft Exchange に焦点が当てられています。
Windowsとエクスプローラーはほぼ毎月更新されていますが、Exchangeの脆弱性が出現するのは比較的稀です。Microsoftのセキュリティ情報MS13-012では、Exchangeの脆弱性について説明しています。攻撃者は、Outlook Web Accessのユーザーに悪意のある添付ファイルをクリックさせることで、Microsoft Exchangeの環境を侵害する可能性があります。この脆弱性は、Oracleが提供する「Oracle Outside In」というライブラリに起因しています。このライブラリは、様々な形式のファイルをブラウザで表示できるように変換するものです。添付ファイルをクリックすると、サーバー上で埋め込まれたコードが実行される可能性があります。
7件の「重要な」アップデートのうち、2件はWindows Server向け、1件はWindowsデスクトップエディション向け、残りの2件はWindowsのサーバーエディションまたはデスクトップエディション向けです。重要なアップデートの1件は.Net Framework向け、もう1件はSharePointのFast Searchサーバー部分向けです。
NCircleは、VMware ESXiハイパーバイザーのユーザーに対し、Windows Server 2008 R2およびWindows Server 2012で実行されるNFS（ネットワークファイルサーバー）操作がサービス拒否攻撃に対して脆弱になる可能性があることを説明したMS13-014を注意深く確認するよう指示しました。「すべてのファイルがWindows NFS共有を使用してマウントされている場合、この脆弱性により仮想インフラストラクチャに意図せず大きな損害が発生する可能性があります」と、nCircleのセキュリティ研究開発担当テクニカルマネージャーであるTyler Reguly氏は電子メールで述べています。
Microsoftは、毎月第2火曜日にソフトウェアのセキュリティパッチを定期的にリリースしています。「パッチチューズデー」と呼ばれるこのパッチの予測可能性により、管理者はシステム更新のための時間を確保できます。重要なITシステムへのアップデートと同様に、管理者はテスト環境でアップデートを適用し、ハードウェアや他のソフトウェアとの予期しない相互作用がないか確認することをお勧めします。今月のアップデートでは、システムの再起動が必要になる場合があります。
セキュリティ更新プログラムは、Microsoft ダウンロード センター、WSUS (Windows Server Update Services) を通じて、また、一般ユーザー向けには Windows Update プロセスを通じて入手可能になります。
