Windows、Exchangeなどにゼロデイ脆弱性6件～Microsoftの2022年11月セキュリティ更新

2022年11月のセキュリティ更新プログラム

　米Microsoftは11月8日（現地時間）、すべてのサポート中バージョンのWindowsに対し月例のセキュリティ更新プログラムをリリースした（パッチチューズデー、Bリリース）。現在、「Windows Update」や「Microsoft Update Catalog」から入手可能。以下のMicrosoft製品に対しても、セキュリティアップデートが提供されている。

.NET Framework
AMD CPU Branch
Azure
Azure Real Time Operating System
Linux Kernel
Microsoft Dynamics
Microsoft Exchange Server
Microsoft Graphics Component
Microsoft Office
Microsoft Office Excel
Microsoft Office SharePoint
Microsoft Office Word
Network Policy Server (NPS)
Open Source Software
Role: Windows Hyper-V
SysInternals
Visual Studio
Windows Advanced Local Procedure Call
Windows ALPC
Windows Bind Filter Driver
Windows BitLocker
Windows CNG Key Isolation Service
Windows Devices Human Interface
Windows Digital Media
Windows DWM Core Library
Windows Extensible File Allocation
Windows Group Policy Preference Client
Windows HTTP.sys
Windows Kerberos
Windows Mark of the Web (MOTW)
Windows Netlogon
Windows Network Address Translation (NAT)
Windows ODBC Driver
Windows Overlay Filter
Windows Point-to-Point Tunneling Protocol
Windows Print Spooler Components
Windows Resilient File System (ReFS)
Windows Scripting
Windows Win32K

　今月のパッチでは、CVE番号ベースで67の脆弱性が新たに対処された。なかでも以下の6件はすでに悪用の事実が確認されており、一刻も早い対応が必要だ（括弧内は深刻度の評価）。「CVE-2022-41091」に関しては攻撃の手法も広く出回っている。

CVE-2022-41091：Windows Mark Of The Web セキュリティ機能のバイパスの脆弱性（Important）
CVE-2022-41040：Microsoft Exchange Server の特権の昇格の脆弱性（Critical）
CVE-2022-41082：Microsoft Exchange Server のリモートでコードが実行される脆弱性（Critical）
CVE-2022-41128：Windows スクリプト言語のリモートでコードが実行される脆弱性（Critical）
CVE-2022-41125：Windows CNG キー分離サービスの特権の昇格の脆弱性（Important）
CVE-2022-41073：Windows 印刷スプーラーの特権の昇格の脆弱性（Important）

　深刻度が「Critical」と評価されている、とくに警戒を要する脆弱性は12件。前述のゼロデイ脆弱性に含まれるものを除くと、以下の9件となる。

CVE-2022-39327：GitHub: CVE-2022-39327 Improper Control of Generation of Code ('Code Injection') in Azure CLI
CVE-2022-41080：Microsoft Exchange Server の特権の昇格の脆弱性
CVE-2022-38015：Windows Hyper-V のサービス拒否の脆弱性
CVE-2022-37967：Windows Kerberos の特権の昇格の脆弱性
CVE-2022-37966：Windows Kerberos RC4-HMAC の特権の昇格の脆弱性
CVE-2022-41039：Windows Point-to-Point トンネリングプロトコルのリモートでコードが実行される脆弱性
CVE-2022-41088：Windows Point-to-Point トンネリングプロトコルのリモートでコードが実行される脆弱性
CVE-2022-41044：Windows Point-to-Point トンネリングプロトコルのリモートでコードが実行される脆弱性
CVE-2022-41118：Windows スクリプト言語のリモートでコードが実行される脆弱性