ニュース

Microsoft、2020年8月の更新を発表～2件のゼロデイ脆弱性

「May 2020 Update」絡みの問題もいくつか解決

樽井秀人

2020年8月12日 09:00

2020年8月のセキュリティ更新プログラム

　米Microsoftは8月11日（現地時間）、同社製品を対象とした月例セキュリティ更新プログラムを公開した。現在、“Windows Update”や“Microsoft Update Catalog”から入手可能。今回のアップデートは、以下の製品が対象となっている。

Microsoft Windows
Microsoft Edge（EdgeHTML-based）
Microsoft Edge（Chromium-based）
Microsoft ChakraCore
Internet Explorer
Microsoft Scripting Engine
SQL Server
Microsoft JET Database Engine
.NET Framework
ASP.NET Core
Microsoft Office and Microsoft Office Services and Web Apps
Microsoft Windows Codecs Library
Microsoft Dynamics

　なかでも“CVE-2020-1464”と“CVE-2020-1380”に関してはすでに攻撃への悪用が確認されているゼロデイ脆弱性となっているので注意。

　“CVE-2020-1464”はファイル署名の検証不備により、なりすましが可能になるというもの。OSのセキュリティ機能を迂回して、不正な署名が施されたファイルを読み込ませることができてしまうという。脆弱性の深刻度は“Important”と評価されている。

　一方、“CVE-2020-1380”は「Internet Explorer」のスクリプトエンジンでオブジェクトの処理に問題があり、メモリ破壊が起こるというもの。細工が施されたコンテンツを「Internet Explorer」で開くと、現在のユーザーのコンテキストで任意コードの実行が可能となる。脆弱性の深刻度はクライアントOSで“Critical”。よりセキュリティの厳しいサーバーOSへの影響は軽微で、“Moderate”と評価されている。

Windows 10およびWindows Server 2016/2019、Microsoft Edge

　最大深刻度は“緊急”（リモートでコードが実行される）。セキュリティ問題以外にも、“C”リリース（参考記事1、
参考記事2）でテストされていた修正が盛り込まれている。

　また、「May 2020 Update」に関連する問題もいくつか解決された。“記憶域スペース”の問題が解決され、間もなくセーフガードホールドが解除されるほか、Intel iGPUの可変リフレッシュレート（VRR）問題、複数のBluetoothデバイスに接続またはペアリングできない問題などが解消される。「Windows 10 May 2020 Update」に関連する不具合のまとめも参照のこと。