Windowsのゼロデイ脆弱性2件に対処～Microsoftが2021年9月のセキュリティ更新を発表【9月17日追記】

2021年9月のセキュリティ更新プログラム

　米Microsoftは9月14日（現地時間）、すべてのサポート中バージョンのWindowsに対し月例のセキュリティ更新プログラムをリリースした（パッチチューズデー、Bリリース）。現在、「Windows Update」や「Microsoft Update Catalog」から入手可能。以下のMicrosoft製品に対しても、セキュリティアップデートが提供されている。

Azure Open Management Infrastructure
Azure Sphere
Dynamics Business Central Control
Microsoft Accessibility Insights for Android
Microsoft Edge (Chromium ベース)
Microsoft Edge for Android
Microsoft MPEG-2 Video 拡張機能
Microsoft Office
Microsoft Office Access
Microsoft Office Excel
Microsoft Office SharePoint
Microsoft Office Visio
Microsoft Office Word
Microsoft Windows Codecs Library
Microsoft Windows DNS
Visual Studio
Windows Ancillary Function Driver for WinSock
Windows Authenticode
Windows Bind Filter ドライバー
Windows BitLocker
Windows 共通ログファイルシステムドライバー
Windows イベントトレーシング
Windows インストーラー
Windows カーネル
Windows Key Storage Provider
Windows MSHTML プラットフォーム
Windows 印刷スプーラーコンポーネント
Windows Redirected Drive Buffering
Windows スクリプト
Windows SMB
Windows Storage
Windows Subsystem for Linux
Windows TDX.sys
Windows Update
Windows Win32K
Windows WLAN Auto Config Service
Windows WLAN サービス

　今月のパッチでは、2件のゼロデイ脆弱性が修正されている。とくに「CVE-2021-40444」はすでに悪用が確認されており、できるだけ早い対処が必要だ。

CVE-2021-36958：Windowsの印刷スプーラーサービスにおけるリモートコード実行（Important）
CVE-2021-40444：MSHTMLにおけるリモートコード実行（Important）

　このほかにも、深刻度「Critical」の問題が3件修正されている。

CVE-2021-38647：Open Management Infrastructure のリモートでコードが実行される
CVE-2021-26435：Windows スクリプトエンジンのメモリ破損の脆弱性
CVE-2021-36965：Windows WLAN AutoConfig サービスのリモートでコードが実行される脆弱性

Windows 10およびWindows Server 2016/2019

　最大深刻度は「緊急」（リモートでコードが実行される）。セキュリティ修正に加え、プレビューパッチ（Cリリース）での改善が含まれる。最新版「バージョン 21H1」におけるハイライトは、「PowerShell」で特定の操作を行うと子ディレクトリが無限に作成されてしまう問題が解決されたことだ。ふりがなの自動入力が期待通りに機能しない問題が解決されたのも、日本語ユーザーにとってはうれしい改善といえるだろう。

Windows 10 バージョン 21H1：KB5005565
Windows 10 バージョン 20H2：KB5005565
Windows 10 バージョン 2004：KB5005565
Windows 10 バージョン 1909：KB5005566
Windows Server 2019：KB5005568
Windows Server 2016：KB5005573

　なお、「Windows 10 バージョン 2004/20H2/21H1」のOSコアは共通になっており、「イネーブルメントパッケージ」と呼ばれるパッチで機能のみを切り替える仕組みになっている。そのため、更新プログラムの内容は同一だ。

　また、「バージョン 2004」全エディションは今年の12月14日にサポート期間の満了を迎える。できるだけ早めに後継バージョンへの移行を検討すべきだろう。

Windows 8.1およびWindows Server 2012/2012 R2

　最大深刻度は「緊急」（リモートでコードが実行される）。「セキュリティのみ」と「マンスリーロールアップ」の2種類が用意されているが、可能な限り「マンスリーロールアップ」の適用が推奨されているので注意したい。

Windows 8.1/Windows Server 2012 R2 マンスリーロールアップ：KB5005613
Windows 8.1/Windows Server 2012 R2 セキュリティのみ：KB5005627
Windows Server 2012 マンスリーロールアップ：KB5005623
Windows Server 2012 セキュリティのみ：KB5005607

　なお、企業向けの有償延長サポート「拡張セキュリティ更新プログラム（ESU）」に加入している顧客にはWindows 7とWindows Server 2008/2008 R2向けにもパッチが提供される。

Microsoft Office関連のソフトウェア

　最大深刻度は「重要」（リモートでコードが実行される）。詳細は以下のドキュメントを参照のこと。

Internet Explorer/Microsoft Edge

　「Internet Explorer」に関する脆弱性修正は案内されていない。

　「Microsoft Edge」は、「パッチチューズデー」とは関係なくアップデートされている。直近のセキュリティ修正は、米国時間9月11日にリリースされたv93.0.961.47。「Google Chrome」で先日修正されたゼロデイ脆弱性「CVE-2021-30632」が修正されている。もう1件のゼロデイ脆弱性「CVE-2021-30633」（Indexed DB APIにおける解放後メモリ利用）については、数日中に対処されるものと思われる。

［2021年9月17日編集部追記］ 9月16日付で「Microsoft Edge」v93.0.961.52が公開され、ゼロデイ脆弱性「CVE-2021-30632」「CVE-2021-30633」への対応が完了している。