Microsoftの2021年2月パッチチューズデー、悪用されたゼロデイ脆弱性など重大なバグを修正

2021年2月のパッチチューズデーが終わり、Microsoftは例年どおり、Windows 10の脆弱性に対する数多くの重要なセキュリティ修正をリリースしました。

今月のパッチでは11件の「緊急（Critical）」レベルの脆弱性が修正されています。そのうちの1つは、パッチ公開前の時点で実際に悪用が確認されていたゼロデイエクスプロイトでした。

Microsoft、重大な脆弱性を修正

件数だけを見れば、2021年2月のパッチチューズデーは特に大規模なものではありません。Microsoftは多数の製品ラインにわたって、合計64件の脆弱性に対するパッチを公開しました。

中でも最も注目すべき脆弱性はCVE-2021-1732です。これはWindows OSのカーネルであるWin32kにおける特権昇格を可能にするゼロデイエクスプロイトです。悪用された場合、攻撃者は昇格した権限でコードを実行でき、最悪の場合、標的システムを完全に掌握される恐れがあります。

一部のセキュリティレポートによると、この特権昇格のバグはセキュリティパッチの公開前から実際に悪用されていたことが確認されています。Microsoftのパッチノートでは、ゼロデイの悪用手法を詳細に報告したDBAPPSecurityのセキュリティチームに謝意を表しています。同社は、このエクスプロイトが高度な攻撃者、おそらくAPT（標的型攻撃グループ）によるものだと分析しています。

さらに、CVSS（脆弱性の深刻度を評価する国際的な指標）で9.8というほぼ最高水準のスコアを持つ緊急度の高い脆弱性が3件存在します。9.8は評価スケールの最上位に近い数値であり、即座にパッチを適用すべき深刻度といえます。

CVE-2021-24078は、Windows DNSサーバーコンポーネントに影響を与えるリモートコード実行（RCE）の脆弱性です。悪用されると、攻撃者は企業環境内のドメイン名トラフィックを乗っ取り、危険なWebサイトやコンテンツ、マルウェアへトラフィックを誘導できる可能性があります。

CVE-2021-24074とCVE-2021-24094は、いずれもTCP/IPに関する脆弱性です。これら2つの脆弱性は重要度が非常に高いため、Microsoftは問題の詳細を解説する専用のブログ記事を公開しました。それによると、これらの脆弱性は「構造的に複雑であるため、実用的なエクスプロイトの作成が困難であり、短期的に悪用される可能性は低い」とのことです。

パッチ公開前に既知情報となっていた6件の脆弱性

今月のパッチチューズデーで興味深い点は、すでに情報が公開されていた脆弱性の多さです。Microsoftがパッチ対象の脆弱性の全リストを公表する前に、以下の6件の脆弱性がすでに開示されていました。

• CVE-2021-1721：.NET CoreおよびVisual Studioのサービス拒否（DoS）脆弱性
• CVE-2021-1733：Sysinternals PsExecの特権昇格脆弱性
• CVE-2021-26701：.NET Coreのリモートコード実行脆弱性
• CVE-2021-1727：Windows Installerの特権昇格脆弱性
• CVE-2021-24098：Windowsコンソールドライバーのサービス拒否（DoS）脆弱性
• CVE-2021-24106：Windows DirectXの情報漏洩脆弱性

これは珍しいケースですが、Microsoftによると、これらの脆弱性はいずれもパッチ公開前の時点では悪用されていなかったとのことです。

今回にかかわらず、Windows 10システムやその他のMicrosoft製品は、できるだけ早くアップデートすることが重要です。Windows 10では、「設定」＞「Windows Update」に移動し、「ダウンロード」または「今すぐインストール」を選択することで、最新のパッチを適用できます。