ニュース

致命的な脆弱性4件、ゼロデイ攻撃も～Microsoft、2024年11月セキュリティ更新を公開

「Windows Server 2025」に初のセキュリティアップデート

樽井秀人

2024年11月13日 09:40

2024年11月のセキュリティ更新プログラム

　米Microsoftは11月12日（現地時間）、すべてのサポート中バージョンのWindowsに対し月例のセキュリティ更新プログラムをリリースした（パッチチューズデー）。現在、「Windows Update」や「Windows Update カタログ」などから入手可能。Windows以外の製品も含め、今月のパッチではCVE番号ベースで89件（サードパーティーのものも含めれば92件）の脆弱性が新たに対処されている。

　このうち、深刻度が4段階中最高の「Critical」と評価されている脆弱性は以下の4件。

CVE-2024-43498：.NET と Visual Studio のリモートコードが実行される脆弱性
CVE-2024-49056：Airlift.microsoft.com の特権の昇格の脆弱性
CVE-2024-43625：Microsoft Windows VMSwitch の特権昇格の脆弱性
CVE-2024-43639：Windows Kerberos のリモートでコードが実行される脆弱性

　なかでも「CVE-2024-43498」の深刻度評価は、「CVSS 3.1」の基本値で「9.8」と高い。Microsoftは認めていないが、Zero Day Initiative（ZDI）は攻撃手法が開示されているとしており、警戒が必要だ。

　そのほかにも、以下の脆弱性で悪用の報告や攻撃手法の開示がある。深刻度はいずれも「Important」。

CVE-2024-43451：NTLM ハッシュ開示スプーフィングの脆弱性（悪用例、開示ともにあり）
CVE-2024-49039：Windows タスクスケジューラの特権の昇格の脆弱性（悪用の報告あり）
CVE-2024-5535：OpenSSL: CVE-2024-5535 SSL_select_next_proto buffer overread（サードパーティー、ZDIは開示ありと主張）
CVE-2024-49019：Active Directory 証明書サービスの特権の昇格の脆弱性（攻撃手法の開示あり、悪用される可能性高し）
CVE-2024-49040：Microsoft Exchange Server のなりすましの脆弱性（攻撃手法の開示あり、悪用される可能性高し）

Windows 10/11およびWindows Server 2016/2019/2022

　最大深刻度は「緊急」（リモートでコードが実行される）。「Windows Server 2025」は今回が初めてのセキュリティパッチとなる。KB番号は「Windows 11 バージョン 24H2」と共通だが、サードパーティ製品で「Windows Server 2019」「Windows Server 2022」が意図せず「Windows Server 2025」へアップグレードされてしまう現象が発生したことをうけ、リリースノートは別となっている。

Windows 11 バージョン 24H2：KB5046617
Windows 11 バージョン 23H2：KB5046633
Windows 11 バージョン 22H2：KB5046633
Windows 10 バージョン 22H2：KB5046613
Windows Server 2025：KB5046617
Windows Server 2022：KB5046616
Windows Server 2019：KB5046615
Windows Server 2016：KB5046612

　これらの更新プログラムには、先月末にリリースされたプレビュー更新プログラムの内容の一部に加え、セキュリティ修正が含まれる。「Windows 11 バージョン 24H2」における目玉は「タスクマネージャー」でタスク数がゼロになる問題への対処、「Windows Subsystem for Linux」（WSL）で開発ドライブ（Dev Drive）にアクセスできなくなる不具合の修正だ。