Windowsに緊急の脆弱性、悪用確認済みのため至急対応を
米国土安全保障省サイバーセキュリティ・インフラストラクチャーセキュリティ庁(CISA: Cybersecurity and Infrastructure Security Agency)は4月9日(米国時間)、「Microsoft Releases April 2024 Security Updates ｜CISA」において、Windowsなど複数のMicrosoft製品に複数の脆弱性が存在するとして、注意を喚起した。これら脆弱性を悪用されると、遠隔から攻撃者によって影響を受けたシステムの制御権が乗っ取られる危険性があるとされている。
○脆弱性に関する情報
脆弱性に関する情報は次のページにまとまっている。
2024 年 4 月のセキュリティ更新プログラム - リリース ノート - セキュリティ更新プログラム ガイド - Microsoft
Security Update Guide - Microsoft
○脆弱性が存在するプロダクト
脆弱性が存在するプロダクトは次のとおり。
.NET と Visual Studio
Azure
Azure AI 検索
Azure Arc
Azure Compute Gallery
Azure Migrate
Azure Monitor
Azure Private 5G Core
Azure SDK
Microsoft Azure Kubernetes Service
Microsoft Brokering File System
Microsoft Defender for IoT
Microsoft Edge (Chromium ベース)
Microsoft Office Excel
Microsoft Office Outlook
Microsoft Office SharePoint
Microsoft WDAC ODBC ドライバー
Microsoft インストール サービス
SQL Server
SQL 用 Microsoft WDAC OLE DB プロバイダー
Windows BitLocker
Windows Cryptographic サービス
Windows Defender Credential Guard
Windows DHCP サーバー
Windows DWM Core ライブラリー
Windows HTTP.sys
Windows Kerberos
Windows Remote Access Connection Manager
Windows Storage
Windows Telephony Server
Windows Update Stack
Windows USB プリント ドライバー
Windows Virtual Machine Bus
Windows Win32K - ICOMP
Windows インターネット接続の共有 (ICS)
Windows カーネル
Windows セキュア ブート
Windows ファイル サーバー リソース管理サービス
Windows プロキシ ドライバー
Windows メッセージ キュー
Windows モバイル ホットスポット
Windows リモート プロシージャ コール
Windows ルーティングとリモート アクセス サービス (RRAS)
Windows ローカル セキュリティ機関サブシステム サービス (LSASS)
Windows 圧縮フォルダー
Windows 認証方法
Windows 分散ファイル システム (DFS)
インターネット ショートカット ファイル
ロール: DNS サーバー
ロール: Windows Hyper-V
○悪用の事実を確認済み、迅速にアップデートを
セキュリティアップデートの対象となる製品は多岐にわたる上、脆弱性の一部は深刻度が緊急（Critical）に分類されており注意が必要。CISAは、上記のセキュリティ情報をチェックするとともに、必要に応じてアップデートを適用することを推奨している。
情報処理推進機構(IPA: Information-technology Promotion Agency, Japan)は「Microsoft 製品の脆弱性対策について(2024年4月) | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構」において、JPCERTコーディネーションセンター(JPCERT/CC: Japan Computer Emergency Response Team Coordination Center)は「2024年4月マイクロソフトセキュリティ更新プログラムに関する注意喚起」において、今回の累積更新プログラムで修正対象となっている脆弱性の悪用が確認されていることを指摘し、早急に対応することを推奨している。
MicrosoftはすでにWindows Updateなどを通じて修正プログラムの配信を行っている。該当する製品を使用している場合には内容を確認するとともに迅速にアップデートを適用することが望まれる。
脆弱性に関する情報は次のページにまとまっている。
2024 年 4 月のセキュリティ更新プログラム - リリース ノート - セキュリティ更新プログラム ガイド - Microsoft
Security Update Guide - Microsoft
○脆弱性が存在するプロダクト
脆弱性が存在するプロダクトは次のとおり。
.NET と Visual Studio
Azure
Azure AI 検索
Azure Arc
Azure Compute Gallery
Azure Migrate
Azure Monitor
Azure Private 5G Core
Azure SDK
Microsoft Azure Kubernetes Service
Microsoft Brokering File System
Microsoft Defender for IoT
Microsoft Edge (Chromium ベース)
Microsoft Office Excel
Microsoft Office Outlook
Microsoft Office SharePoint
Microsoft WDAC ODBC ドライバー
Microsoft インストール サービス
SQL Server
SQL 用 Microsoft WDAC OLE DB プロバイダー
Windows BitLocker
Windows Cryptographic サービス
Windows Defender Credential Guard
Windows DHCP サーバー
Windows DWM Core ライブラリー
Windows HTTP.sys
Windows Kerberos
Windows Remote Access Connection Manager
Windows Storage
Windows Telephony Server
Windows Update Stack
Windows USB プリント ドライバー
Windows Virtual Machine Bus
Windows Win32K - ICOMP
Windows インターネット接続の共有 (ICS)
Windows カーネル
Windows セキュア ブート
Windows ファイル サーバー リソース管理サービス
Windows プロキシ ドライバー
Windows メッセージ キュー
Windows モバイル ホットスポット
Windows リモート プロシージャ コール
Windows ルーティングとリモート アクセス サービス (RRAS)
Windows ローカル セキュリティ機関サブシステム サービス (LSASS)
Windows 圧縮フォルダー
Windows 認証方法
Windows 分散ファイル システム (DFS)
インターネット ショートカット ファイル
ロール: DNS サーバー
ロール: Windows Hyper-V
○悪用の事実を確認済み、迅速にアップデートを
セキュリティアップデートの対象となる製品は多岐にわたる上、脆弱性の一部は深刻度が緊急（Critical）に分類されており注意が必要。CISAは、上記のセキュリティ情報をチェックするとともに、必要に応じてアップデートを適用することを推奨している。
情報処理推進機構(IPA: Information-technology Promotion Agency, Japan)は「Microsoft 製品の脆弱性対策について(2024年4月) | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構」において、JPCERTコーディネーションセンター(JPCERT/CC: Japan Computer Emergency Response Team Coordination Center)は「2024年4月マイクロソフトセキュリティ更新プログラムに関する注意喚起」において、今回の累積更新プログラムで修正対象となっている脆弱性の悪用が確認されていることを指摘し、早急に対応することを推奨している。
MicrosoftはすでにWindows Updateなどを通じて修正プログラムの配信を行っている。該当する製品を使用している場合には内容を確認するとともに迅速にアップデートを適用することが望まれる。
