2021年７月のセキュリティアップデート解説：「PrintNightmare」など146件

今月の第2火曜日となった2021年７月13日、Adobe社とMicrosoft社から更新プログラムが提供されました。今回リリースされた最新のセキュリティ更新プログラムの詳細について確認しましょう。

■Adobe社による2021年7月のセキュリティアップデート

7月Adobe社は、「Adobe Dimension」、「Illustrator」、「Framemaker」、「Acrobat およびReader」、「Adobe Bridge」に確認された計29件の脆弱性に対処するため5つのパッチをリリースしました。これらの脆弱性のうち15件が、「Zero Day Initiative（ZDI）」による「ZDI program」を通して発見されたもので、ZDIのリサーチャーであるMat PowellとJoshua Smithによって確認された脆弱性が含まれています。

AcrobatおよびReaderのアップデートでは、19件の脆弱性が修正されていますが、そのうちのいくつかは、悪意のあるPDFをユーザに開かせることに成功した場合、攻撃者によるコード実行が可能になります。また、Dimensionのアップデートで修正される脆弱性も、コード実行の脆弱性です。Illustratorでは、3件の脆弱性が修正されています。任意のコードが実行される脆弱性2件は、PDFおよびJPEG2000ファイルの処理において発生します。この問題はユーザの入力データの検証が適切に行われないことに起因するもので、割り当てられたデータ構造体の境界を超えた書き込みが実行される可能性があります。同様の境界外（Out-of-Bounds、OOB）書き込みの脆弱性がBridgeにも5件存在しており、ログオンしているユーザのレベルでコードの実行が可能です。Framemakerのための更新プログラムは一つだけで、PDFファイルに埋め込まれたTrueTypeフォントの解析に存在するOOB書き込みの脆弱性を修正するものです。

Adobe社が今月対処した脆弱性はいずれも、リリース時点で一般に公開されている、あるいは悪用の事実を確認されているとして報告されているものはありません。

■Microsoft社による2021年7月のセキュリティ更新プログラム

7月Microsoft社は、「Microsoft Windows」、「Dynamics」、「Exchange Server」、「Microsoft Office」、「Windows Storage Spaces Controller」、「Bing」、「SharePoint Server」、「Internet Explorer（IE）」、「Visual Studio」、「OpenEnclave」に存在する計117件の脆弱性に対処する修正プログラムをリリースしました。これらの脆弱性のうち17件がZDI programを通じて発見されたものです。117件のうち13件が深刻度「Critical（緊急）」、103件が「Important（重要）」、1件が「Moderate（警告）」として評価されています。今月の修正プログラムの数は過去2カ月でリリースされた合計数を上回り、2020年の月次報告数と同程度となりました。先月６月に見られた修正プログラム数の減少は、例外だったようです。Microsoft社によると、対処された脆弱性のうち6件は一般に公開されており、4件はリリース時に悪用の事実が確認されています。

それでは、今月のアップデートの中でも特に興味深いものの中から、すでに多くの注目を集めている脆弱性から順に見ていきましょう。

– CVE-2021-34527 – Windows Print Spooler のリモートコード実行の脆弱性

既に悪用確認済みのこの脆弱性は「PrintNightmare」として知られており、多くの記事でも報告されています。Microsoft社は、7月6日（火）にこの脆弱性に対処する緊急パッチをリリースしましたが、その後も度々更新しています。このパッチには効果がないとする報告もありますが、特定のレジストリキーに正しい値が設定されていればパッチは有効である、とMicrosoft社は主張しています。企業や組織は、レジストリキーが適切に設定されているかを確認した上でこのパッチを適用してください。また、必要のない場合にはPrint Spoolerサービスを無効にし、プリンタドライバのインストールを管理者のみに制限することをお勧めします。

– CVE-2021-34448 – スクリプトエンジンのメモリ破損の脆弱性

この脆弱性も悪用の事実を確認済みとしてリストされていますが、攻撃がどの程度の範囲に及んでいるかは不明です。この脆弱性により、特別に細工されたWebサイトをユーザが閲覧すると、攻撃者によるコードの実行が可能になります。コードの実行は、ログオンしているユーザレベルで発生します。この脆弱性がどのように脅威なのか、共通脆弱性評価システム（CVSS）からは掴みにくいケースでもあります。Microsoft社は「攻撃の複雑さ」を「高」としており、このために深刻度は高（スコア8以上）でなく中程度（6.8）となっています。しかし、既に脆弱性を悪用した攻撃が確認されている以上、「攻撃の複雑さ」はあまり重要ではないようにも思われます。いずれにしても、サポートされているすべてのバージョンの Windows でコード実行が可能になる可能性があるため、パッチの適用は重要事項として扱ってください。

– CVE-2021-34494 – Windows DNS Serverのリモートコード実行の脆弱性

悪用の事実は確認されていないものの、深刻度の高さを考慮すると優先して対処される必要があります。この脆弱性の悪用に成功すると、リッスン状態のネットワークポート上で、ユーザの操作を必要とせず、特権を持つサービスレベルでのリモートコード実行が可能になります。Microsoft社は、「必要な特権レベル」を「低」としていますが、サーバの設定によっては特権の獲得が容易である場合があります。なお、この脆弱性はDNSサーバ限定です。とはいえ、最も感染させたくないシステムの一つはおそらくDNSサーバでしょう。このパッチを迅速にテストし、適用することをお勧めします。

– CVE-2021-34458 – Windows カーネルのリモートコード実行の脆弱性

カーネルのリモートコード実行（RCE）の脆弱性は稀ですが、これはその稀な一例です。この脆弱性は、シングルルートI/O仮想化 (SR-IOV) デバイスを搭載した仮想マシンをホストするシステムに影響します。このようなシステムがどれほど普及しているかは不明ですが、CVSS スコアが9.9と高いため、無視できません。使用環境に仮想マシンがある場合は、テストおよびパッチの適用を迅速に行ってください。

2021年7月にMicrosoft社が更新プログラムで対処している脆弱性の一覧はこちらから確認してください。

表：注目の4件の「緊急」レベルの脆弱性（2021年７月の更新プログラム）

次に目を引く項目として、Exchange Serverのパッチが7件ありますが、実際には新しい脆弱性は多くありません。新しい脆弱性の一つは、ハッキングコンテスト「Pwn2Own」で公開された「CVE-2021-31206」です。また、「Man-In-The-Middle（中間者）攻撃」、または隣接ネットワークから悪用可能な特権昇格の脆弱性に対する新しいパッチもあります。驚くべきことにこれらのExchange Serverのパッチの中で、4月にパッチされていたにもかかわらず今月まで文書化されていなかったものが3件あります。このような「サイレントパッチ」は、過去に多くの問題を起こしており、企業にとって大きなリスクとなっています。管理者はすべてのパッチのインストールを目標とすべきですが、ほとんどのネットワークでは実現が難しいでしょう。ネットワークを防御するための優先順位について判断するには、できるだけ多くの情報が必要です。パッチをインストールする際のガイダンスや、脆弱性の深刻度に関するベンダからの情報がない場合、判断に悪影響を及ぼします。

表：Microsoft Exchange Serverの脆弱性（2021年７月の更新プログラム）

残りの「緊急」レベルの脆弱性を見ると、Defenderのリモートコード実行（RCE）の脆弱性に対処するパッチが2件ありますが、特に対策を講じる必要はないでしょう。Microsoft社は、マルウェア保護エンジン（Malware Protection Engine）を定期的に更新しているため、システムがインターネットに接続されている場合はすでに更新が行われているはずです。また、Dynamics 365 Business Central、Windows Media Foundation、MSHTML、Hyper-VにもRCEの脆弱性が存在します。

表：その他の「緊急」レベルの脆弱性（2021年７月の更新プログラム）

深刻度「重要」レベルのRCEの脆弱性に目を移すと、Windows DNSサーバに影響するものがかなり見られます。ほとんどは、管理者が悪意のあるレコードをDNS スナップインで表示しなければ、悪用することはできません。また、ユーザ操作を必要とせず、低レベルの特権しか必要としないものもいくつかあります。DNSサーバをシャットダウンすることは、乗っ取られること同様に避けなければなりません。いずれの場合も、これらの脆弱性の影響を受けるシステムでは、DNSサーバが有効である必要があります。「重要」レベルのRCEの脆弱性で残るものは、Officeコンポーネント、SharePoint Server、およびHEVC Video Extensionsです。

表：「重要」レベルのリモートコード実行（RCE）の脆弱性（2021年７月の更新プログラム）

今月のリリースには、合計32件の特権昇格（EoP）の脆弱性に対処するパッチが含まれています。このうち6件は、前述したものに加えて、Windows Storage Spaces ControllerのEoPの脆弱性を修正しています。また、カーネル、Remote Access Connection Manager、Installerサービス、パーティション管理、および投影型ファイルシステムにおけるEoPの脆弱性に対する修正も含まれています。

表：特権昇格（EoP）の脆弱性（2021年７月の更新プログラム）

今回、相当数のサービス拒否（DoS）の脆弱性が含まれていることはすでに述べましたが、さらに注意すべき脆弱性がいくつかあります。一つ目は、LSA（Local Security Authority）の脆弱性です。Microsoft社はこの脆弱性の影響を詳しく説明していませんが、LSAのDoSはユーザ認証ができないことを意味します。また、TCP/IPスタックに3つのDoSの脆弱性があります。こちらも詳細は不明ですが、攻撃者はデバイス上のすべてのネットワークをシャットダウンできるようです。最後に、bowser.sysおよびWindows AF_UNIX Socket ProviderのDoS脆弱性に対する修正があります。

表：サービス拒否（DoS）の脆弱性（2021年７月の更新プログラム）

今月は情報漏えいの脆弱性に対処するパッチが14件あり、その中にはSharePoint Serverの深刻度「Moderate（警告）」評価の脆弱性が1件含まれています。この脆弱性は個人情報を開示する可能性があり、完全に対処するためには複数のパッケージが必要となる可能性があります。その他の脆弱性のほとんどは、不特定のメモリ内容の情報漏えいつながるものです。注目すべき2つの例外は、Key Distribution Center（KDC）とServer Message Block （SMB）に影響を与える脆弱性です。KDCには脆弱な暗号化アルゴリズムが存在するため、攻撃に利用されると、ユーザやサービスのアクティブなセッションに関連する情報が復号され漏洩する可能性があります。SMBの脆弱性は、攻撃者によるファイルシステムへの不正アクセスを許す可能性があり、影響を受けるシステム上のファイルを読まれる可能性があります。

表：情報漏えい（Info）の脆弱性（2021年７月の更新プログラム）

今月のリリースでは、8つのセキュリティ機能のバイパスの脆弱性が修正されています。Active Directoryフェデレーションサービス（ADFS）のパッチでは、通常 TPM に格納されているプライマリ更新トークン（PRT）の脆弱性が修正されています。このトークンは適切に暗号化されていません。攻撃者は、トークンの有効期限が切れるか更新されるまで、トークンを抽出して復号し、再利用できる可能性があります。LSA にはバグがあり、読み取り専用のドメインコントローラー（RODC）が自身にチケットを付与することで権利を委譲できる可能性があります。このチケットはドメインコントローラによって検証されていないため、読み取り専用のDCが読み取り/書き込み権限を得ることになる可能性があります。Security Account Managerのパッチは、MS-SAMRプロトコルを使用する際の優先的な方法としてAdvanced Encryption Standard (AES)の暗号化を追加します。Microsoft社は今後、KB5004605に設定の詳細を追加してリリースする予定です。7月13日時点では、予定について記載されていますが、実施されていません。残念なことに、一般に公開されている２件の脆弱性とWindows Helloのパッチを含む、他のバイパスの脆弱性対処については詳細が不明です。

表：セキュリティ機能バイパス（SFB）の脆弱性（2021年７月の更新プログラム）

７月の更新プログラムは、SharePoint Server、Bing Search、Visual Studio、Office、Authenticode、Installerのなりすましの脆弱性、および証明書のなりすましを可能にする脆弱性に対処する7つのパッチで締めくくられています。6月下旬、Microsoft社は、Windowsハードウェア互換性プログラム（WHCP）のプロセスを利用する攻撃者に関する報告を調査していると報告しました。証明書が公開された証拠はないとのことですが、今回のパッチがその調査に起因している可能性があります。脆弱性は一般に公開済みと記載があるものの、確証する公式文書はありません。その他のなりすましの脆弱性についての詳細は公開されていません。

表：なりすまし（Spoofing）の脆弱性（2021年７月の更新プログラム）

通例通りServicing Stackに関するアドバイザリ（ADV990001）がWindowsの複数のバージョンで改訂されました。今月は新しいアドバイザリのリリースはありませんでした。

参考記事：

• 「THE JULY 2021 SECURITY UPDATE REVIEW」
  By Dustin Childs

翻訳： 室賀　美和（Core Technology Marketing, Trend Micro™ Research）