マイクロソフト、月例パッチで悪用されているゼロデイ2件含む約60件の脆弱性に対処：CVE-2024-30051、CVE-2024-30040

5月15日：サイバーセキュリティ関連ニュース

マイクロソフト、月例パッチで悪用されているゼロデイ2件含む約60件の脆弱性に対処：CVE-2024-30051、CVE-2024-30040

SecurityWeek – May 14, 2024

マイクロソフトは火曜、5月の月例セキュリティ更新プログラムをリリースし、約60件の脆弱性に対処。うち深刻度評価が最大値の「Critical（緊急）」のものはCVE-2024-30044の1件のみ。また、2件のゼロデイ脆弱性（CVE-2024-30051、CVE-2024-30040）については既に実際の攻撃で悪用されているという。

＜注目の脆弱性＞

• CVE-2024-30051（CVSS 7.8、「Important（重要）」）：Windows デスクトップ ウィンドウ マネージャー（DWM）のコアライブラリにおけるヒープベースのバッファオーバーフロー。攻撃者による悪用が成功すると、SYSTEM権限の取得が可能となる恐れがある。カスペルスキーによれば、この脆弱性は、QakBotなどのマルウェアを配布するキャンペーンで悪用されているという。
• CVE-2024-30040（CVSS 8.8、「Important（重要）」）：Windows MSHTML プラットフォームにおけるセキュリティ機能バイパスの脆弱性。認証されていない攻撃者は、この脆弱性の悪用を成功させ、ユーザーを騙して悪意あるファイルを開かせることで任意のコードを実行できるようになる。「悪用検出済み」のステータスになっているが、どのように悪用されているのかは不明。
• CVE-2024-30044（CVSS 8.8、「Critical（緊急）」）：SharePoint Server におけるリモートコード実行の脆弱性。サイト所有者権限を持つ認証済みの攻撃者は、この脆弱性を使うことで任意コードの注入および実行を達成することができるようになる。悪用はまだ確認されていない。

Fortinet、複数製品の脆弱性に対処（CVE-2024-31491、CVE-2024-23105他）

PSIRT Advisories

Fortinetは14日、FortiSandboxやFortiPortalなど、複数製品の脆弱性に関するアドバイザリを公開し、修正済みバージョンへのアップグレードなどを呼びかけた。修正された脆弱性のうち、深刻度が「High」のものは以下。CVE-2024-21760以外は、不正なコードまたはコマンドの実行に繋がる恐れがある。

• CVE-2024-31491（FortiSandbox）：サーバ側のセキュリティのクライアント側での実施の脆弱性。認証済みの攻撃者（最低限必要なのは読み取り専用権限）による悪用が成功すると、コンフィグレーションのダウンロードまたはアップロードが可能になる恐れがある。CVSSスコアは8.6。
• CVE-2024-23105（FortiPortal）：信頼性の低いソース使用の脆弱性。認証されていない攻撃者は、これを悪用し、細工されたHTTPまたはHTTPSパケットを使うことでIP保護措置をバイパスできるようになる可能性があり、不適切なアクセス制御に繋がる恐れがある。CVSSスコアは7.1。
• CVE-2024-21760（FortiSOAR）：コード生成の不適切な制御（コードインジェクション）の脆弱性。認証済みの攻撃者が悪用を成功させると、プレイブックコードスニペットを用いてホスト上で任意のコードを実行できるようになる恐れがある。CVSSスコアは7.7。
• CVE-2024-23667、CVE-2024-23668、CVE-2024-23669、CVE-2024-23670（FortiWebManager）：FortiWebManagerに影響を与える、複数の不適切な入力値検証および不適切な認可の脆弱性。認証済みの攻撃者（最低限必要なのは読み取り専用権限）に悪用されると、HTTPリクエストまたはCLIを用いた不正なアクションを実行される恐れがある。