ニュース

Microsoft、2021年4月のセキュリティ更新を発表 ～古い「Edge」は終了、新しい「Edge」へ

「Windows 10 バージョン 1909」などは来月にサポート期間満了

2021年4月14日 11:00

2021年4月のセキュリティ更新プログラム

　米Microsoftは4月14日（現地時間）、同社製品を対象とした月例セキュリティ更新プログラムを公開した。現在、“Windows Update”や“Microsoft Update Catalog”から入手可能。今回のアップデートは、以下の製品が対象となっている。

  • Azure AD Web Sign-in
  • Azure DevOps
  • Azure Sphere
  • Microsoft Edge (Chromium-based)
  • Microsoft Exchange Server
  • Microsoft Graphics Component
  • Microsoft Internet Messaging API
  • Microsoft NTFS
  • Microsoft Office Excel
  • Microsoft Office Outlook
  • Microsoft Office SharePoint
  • Microsoft Office Word
  • Microsoft Windows Codecs Library
  • Microsoft Windows Speech
  • Open Source Software
  • Role: DNS Server
  • Role: Hyper-V
  • Visual Studio
  • Visual Studio Code
  • Visual Studio Code - GitHub Pull Requests and Issues Extension
  • Visual Studio Code - Kubernetes Tools
  • Visual Studio Code - Maven for Java Extension
  • Windows Application Compatibility Cache
  • Windows AppX Deployment Extensions
  • Windows Console Driver
  • Windows Diagnostic Hub
  • Windows Early Launch Antimalware Driver
  • Windows ELAM
  • Windows Event Tracing
  • Windows Installer
  • Windows Kernel
  • Windows Media Player
  • Windows Network File System
  • Windows Overlay Filter
  • Windows Portmapping
  • Windows Registry
  • Windows Remote Procedure Call Runtime
  • Windows Resource Manager
  • Windows Secure Kernel Mode
  • Windows Services and Controller App
  • Windows SMB Server
  • Windows TCP/IP
  • Windows Win32K
  • Windows WLAN Auto Config Service

　Windowsの更新プログラムには、先月の月例パッチが原因で発生していた印刷機能の不具合に対する修正も含まれている。

　また、2020年11月リリースのKerberos認証問題への対策が第2展開フェイズへ移行する点や、セキュリティ上の理由で非推奨となっていたRemoteFX vGPUコンポーネントが予定より遅れて削除される点にも注意したい。

Windows 10およびWindows Server 2016/2019

　最大深刻度は“緊急”（リモートでコードが実行される）。「Windows 10 バージョン 1909」などが5月11日にサービス終了するので注意。サービス終了を迎えると、そのOSは月例のセキュリティアップデートや品質アップデートを受けられなくなる。

　なお、「バージョン 2004/20H2」はOSのコアが共通で、“イネーブルメント パッケージ”で機能のみを切り替える仕組みになっている。そのため、更新プログラムの内容は同一だ。

Windows 8.1およびWindows Server 2012/2012 R2

　最大深刻度は“緊急”（リモートでコードが実行される）。“セキュリティのみ”と“マンスリー ロールアップ”の2種類が用意されているが、可能な限り“マンスリー ロールアップ”の適用が推奨されているので注意したい。

  • Windows 8.1/Windows Server 2012 R2 マンスリー ロールアップ：KB5001382
  • Windows 8.1/Windows Server 2012 R2 セキュリティのみ：KB5001393
  • Windows Server 2012 マンスリー ロールアップ：KB5001387
  • Windows Server 2012 セキュリティのみ：KB5001383

　なお、企業向けの有償延長サポート“拡張セキュリティ更新プログラム（ESU）”に加入している顧客にはWindows 7とWindows Server 2008/2008 R2向けにもパッチが提供される。

Microsoft Office関連のソフトウェア

　最大深刻度は“重要”（リモートでコードが実行される）。詳細は以下のドキュメントを参照のこと。

Internet Explorer/Microsoft Edge

　今月は「Internet Explorer」に関する修正はない。

　「EdgeHTML」ベースの「Microsoft Edge」は3月にサポートが終了し、「Chromium」ベースの新しい「Edge」に置き換えられた。ただし、「バージョン 1803/1809」に関しては5月の定例リリースで置き換えが実施されるとのこと。

　「Chromium」ベースの新しい「Edge」は、“パッチチューズデー”とは関係なくアップデートされている。直近のセキュリティ修正は、米国時間2日にリリースされたv89.0.774.68。

Microsoft SharePoint

　「SharePoint」に関連する修正は、全部で2件。最大深刻度は“重要”。

Microsoft Exchange Server

　「Microsoft Exchange Server」関連では、4件の脆弱性が修正された。最大深刻度は“緊急”。オンプレミスの「Exchange Server」にのみ影響し、「Exchange Online」では対処済みだ。

  • CVE-2021-28480（緊急：リモートでコードが実行される）
  • CVE-2021-28481（緊急：リモートでコードが実行される）
  • CVE-2021-28482（緊急：リモートでコードが実行される）
  • CVE-2021-28483（緊急：リモートでコードが実行される）

　「Exchange Server」は最近、「Hafnium」と呼ばれる国家の支援を受けた大規模なサイバー攻撃の標的になるなど注目を集めている。今回の脆弱性は悪用が確認されていないものの、セキュリティを維持するためにもできるだけ早いパッチの適用が推奨されている。

Azure DevOps Server、Team Foundation Server

　「Azure DevOps Server」「Team Foundation Server」関連では、2件の脆弱性が修正された。

Microsoft Visual Studio

　「Microsoft Visual Studio」関連では、4件の脆弱性が修正された。

そのほかの製品

　そのほかにも、以下の製品に対しセキュリティアップデートが提供されている。

  • VP9 Video Extensions：1件（重要：1件）
  • Visual Studio Code - Maven for Java Extension：1件（重要：1件）
  • Visual Studio Code - Kubernetes Tools：1件（重要：1件）
  • Visual Studio Code - GitHub Pull Requests and Issues Extension：1件（重要：1件）
  • Visual Studio Code：6件（重要：6件）
  • Raw Image Extension：2件（重要：2件）
  • Azure Sphere：1件（緊急：1件）
  • @azure/ms-rest-nodeauth：1件（重要：1件）