Microsoft、月例セキュリティ情報11件を公開　4件で攻撃確認

　米Microsoftは12月10日（日本時間11日）、予告通りに11件のセキュリティ情報を公開した。内訳は、深刻度が最も高い「緊急」が5件、上から2番目の「重要」が6件。11月上旬に発覚したグラフィックスコンポーネントの脆弱性を含め、Microsoftはこのうちの4件で脆弱性を突く攻撃の発生を確認している。

　緊急レベルの5件のうち、グラフィックスコンポーネントの脆弱性（MS13-096）は、標的型攻撃の発生が確認され、Microsoftが11月上旬にアドバイザリーを出して注意を呼びかけていたもの。細工を施したTIFFファイルが含まれるコンテンツを表示した場合、攻撃者にリモートでコードを実行される恐れがある。この問題はWindows VistaとWindows Server 2008、Microsoft Office 2003〜2010、およびMicrosoft Lync 2010と2013が影響を受ける。

　また、「MS13-098」の更新プログラムで修正されたWindowsの脆弱性は、非公開で報告されたものの、既に標的型攻撃に悪用されているという。脆弱性はコード署名の検証にかかわる「WinVerifyTrust」機能に存在する。悪用された場合、攻撃者が既存の署名の入った実行可能ファイルに手を加えて、署名を有効にしたまま不正なコードを追加できてしまう恐れがあるという。この脆弱性はサポート対象の全Windowsが極めて深刻な影響を受ける。

パッチ適用の優先度

　このほかScripting Runtimeオブジェクトライブラリの脆弱性を修正する更新プログラム（MS13-099）、Internet Explorerの累積的なセキュリティ更新プログラム（MS13-097）についても、Microsoftは最優先で適用するよう呼び掛けている。

　重要レベルのセキュリティ情報の中では、Officeの脆弱性（MS13-104）とOffice共有コンポーネントの脆弱性（MS13-106）について、現時点で悪用を試みる限定的な標的型攻撃の発生が確認されているという。悪用された場合、情報が流出したり、セキュリティ機能を迂回されたりする恐れが指摘されている。