2022年5月のセキュリティアップデート解説：Adobe社が18件、Microsoft社が74件の脆弱性に対処

5月10日火曜日にAdobe社とMicrosoft社から最新のセキュリティアップデートが公開されました。今回リリースされたセキュリティ更新プログラムの詳細について確認しましょう。

■ Adobe社による2022年5月のセキュリティ更新プログラム

5月、Adobe社は、「Adobe CloudFusion」、「InCopy」、「Framemaker」、「InDesign」、「Adobe Character Animator」で確認された18件の脆弱性に対処する5つの更新プログラムをリリースしました。これらの脆弱性のうち17件は、Zero Day Initiative（ZDI）に所属する脆弱性リサーチャ Mat Powell氏によって報告されたものです。これらのパッチの中でFramemaker向けのものが最も脆弱性に対する影響緩和の範囲が大きく、合計10件の脆弱性に対処します。そのうち9件は「緊急（Critical）」評価された脆弱性で、主に「境界外書き込み（Out-of-Bounds（OOB）Write）」の脆弱性によりコード実行につながる可能性があります。InDesign向けのパッチは、コード実行につながる可能性のある緊急評価された脆弱性3件に対処します。そのうち2件は境界外書き込み、残りの1件は境界外読み込みにより引き起こされる可能性があります。InCopy向けのパッチも同様に、緊急評価されたコード実行の脆弱性3件に対処します。そのうち2件は境界外書き込み、残りの1件は「メモリ解放後使用（Use-After-Free、UAF）」により引き起こされる可能性があります。Character Animator向けのパッチは、緊急評価された境界外書き込みによるコード実行の脆弱性を1件修正します。最後に、ColdFusion向けのパッチは「重要（Important）」評価された反射型クロスサイトスクリプティング（XSS）の脆弱性を修正します。

今月Adobe社によって修正された脆弱性はいずれも、リリース時点で一般に公開されている、あるいは悪用の事実が確認されているものはありません。Adobe社は、これらの更新プログラムをすべて優先度「3」に分類しています。

■ Microsoft社による2022年5月のセキュリティ更新プログラム

5月、Microsoft社は、「Microsoft WindowsおよびWindowsコンポーネント」、「.NETおよびVisual Studio」、「Microsoft Edge（Chromiumベース）」、「Microsoft Exchange Server」、「OfficeおよびOfficeコンポーネント」、「Windows Hyper-V」、「Windows認証」、「BitLocker」、「Windows クラスタ共有ボリューム（CSV）」、「リモート デスクトップ クライアント」、「Windows ネットワーク ファイル システム」、「NTFSおよびWindows Point-to-Point Tunnelingプロトコル」で確認された74件の脆弱性に対処する新たなパッチをリリースしました。この件数は、同年4月下旬にリリースされたMicrosoft Edge（Chromiumベース）の脆弱性36件に対処するパッチの数を合計したものです。

5月10日にパッチがリリースされた74件の脆弱性のうち、深刻度が「緊急」と評価されたものは7件、「重要」評価は66件、「低（Low）」評価は1件です。これらの脆弱性のうち7件は「ZDI program」を通じて報告されたものです。過去数年間と比較すると、74件という数はこれまで5月にリリースされたものとほぼ同数で、2021年5月より19件多く、2019年5月より5件少ないです。2020年5月のリリース数はやや異例であったため、同月との比較はそれほど有用ではありません。

2022年5月10日にパッチがリリースされた脆弱性のうち1件は、リリース時点で一般公開および悪用の事実が確認されており、2件はリリース時点で一般に公開されています。5月にリリースされた更新プログラムのうち、より興味深いものを詳しく見てみましょう。

–       CVE-2022-26925 – Windows ローカルセキュリティ機関（LSA）におけるなりすましの脆弱性

認証されていない攻撃者がこの脆弱性を悪用した場合、ドメインコントローラを含むWindowsホストを悪用し、NTLM（NT LAN Manager）認証を用いて別のサーバに対する認証の試行を強制する可能性があります。攻撃者は、ネットワーク通信の読み取りや改ざんを行うためには、標的端末 / 要求されたリソース間に作成された論理ネットワークパス内で通信を傍受する必要があります（中間者攻撃、MitM Attack）。ただしMicrosoft社は「悪用の事実を確認済み」と公表していることから、何者かがこの脆弱性の悪用手口を見つけ出したと考えられます。Microsoft社は、この脆弱性がActive Directory証明書サービス（AD CS）に対するNTLMリレー攻撃と組み合わせて悪用された場合、CVSSスコアが「9.8」となり、さらに深刻度が高くなると公表しています。システム管理者は、このパッチ適用に加えて、「KB5005413」およびアドバイザリ「ADV210003」を確認し、NTLMリレー攻撃を防ぐために実行できる追加の対策を講じる必要があります。またMicrosoft社は、このパッチがServer 2008 SP2上のバックアップ機能の一部に影響を及ぼすと公表しています。Server 2008 SP2を稼働させている場合は、セキュリティ更新プログラムガイドを注意深く読み、バックアップからデータを引き続き復元できることを確認する必要があります。

–       CVE-2022-26923 – Active Directoryドメインサービスにおける特権昇格の脆弱性

この脆弱性情報は、セキュリティベンダ「Institut for Cyber Risk社」に所属するOliver Lyak氏（@ly4k_）がZDI programを通じて報告したものです。この脆弱性は、証明書の発行時に引き起こされます。攻撃者は、細工されたデータを証明書のリクエストに含めることで、ドメインコントローラに高い権限で認証させる証明書を取得する可能性があります。つまり、Active Directory証明書サービスがドメイン上で実行されている場合、ドメイン認証を受けたユーザは、ドメイン管理者になることができます。これは、非常に一般的な展開手口です。この脆弱性の深刻度や「容易に攻撃可能」と公表されている点を考慮すると、遅かれ早かれ、この手法を用いた活発な攻撃活動が実施されても不思議ではないでしょう。

–       CVE-2022-26937 – Microsoft ネットワーク ファイル システムにおけるリモートコード実行（RCE）の脆弱性

CVSSスコア「9.8」と評価されたこの脆弱性を認証されていない攻撃者が悪用した場合、影響を受けるシステム上のネットワーク ファイル システム（NFS）サービスのコンテキスト内においてリモートでコード実行される可能性があります。NFSはデフォルトでは有効になっていませんが、WindowsシステムがLinuxやUnixなどの別のOSと混在している環境では普及しています。NFSを利用している場合は優先的にパッチをテストし、早急に適用することが推奨されます。Microsoft社は、「NFSV4.1では、この脆弱性は悪用されません。」と公表しているため、テスト後に問題がなければNFSv2 / NFSv3からアップグレードすることが推奨されます。

–       CVE-2022-29972 – Insight Software: CVE-2022-29972 Magnitude Simba Amazon Redshift ODBC Driver

この更新プログラムは実際には5月9日にリリースされたもので、Microsoft社がこの脆弱性に関する情報および当該脆弱性がどのように複数のMicrosoftサービスに影響を与えるかについてブログを執筆するほどに複雑なものです。さらにMicrosoft社は、この脆弱性に関する追加情報とともに、2022年最初のアドバイザリ「ADV220001」をリリースしました。この脆弱性は、Amazon Redshiftへの接続に用いられるサードパーティ製のODBCデータコネクタ、Azure Synapseパイプラインの統合ランタイム（IR）、Azure Data Factoryに内在しており、攻撃者が悪用することで統合ランタイムを介してリモートコマンドを実行できる可能性があります。これらのサービスを利用している場合は、Microsoft社のブログおよびアドバイザリを確認し、サービスにおけるリスクを確実に理解する必要があります。

2022年5月にMicrosoft社が更新プログラムで対処している脆弱性の一覧はこちらをご確認ください。

残りの緊急評価された脆弱性を見ると、RCEにつながる可能性のあるWindowsにおけるPoint-to-Point Tunnelingプロトコル（PPTP）の実装に影響をもたらす脆弱性が2件修正されています。Microsoft社は「この脆弱性が悪用されるには、競合状態に勝つことが攻撃者にとっての必要条件となります。」と公表していますが、すべての競合状態が同じとは限りません。つまり攻撃者は、この脆弱性を悪用するために大穴を当てる覚悟で競合状態に勝つ必要があります。Microsoft Kerberosには緊急評価された特権昇格（Elevation of Privilege、EoP）の脆弱性が内在していますが、それ以上の情報は公表されていません。EoPの脆弱性が緊急評価されることは稀であるため、ドメイン管理者アカウントへの昇格以外にも何かが生じる可能性があります。最後に、最近少なくとも月に一度は目にするリモート デスクトップ プロトコル（RDP）クライアント向けのパッチがリリースされました。攻撃者はコードを実行させるために、影響を受けるシステムが特別に細工されたRDPサーバに接続するよう仕向ける必要があります。

今月はRCEの脆弱性に対処するパッチが上記のほかに20件リリースされており、そのうちの半数はLDAP（Lightweight Directory Access Protocol）の脆弱性に対処するものです。これらの脆弱性のうち最も深刻度が高いものはCVSSスコア「9.8」ですが、悪用するにはLDAPポリシー（MaxReceiveBuffer）をデフォルト値よりも高い値に設定する必要があります。これが一般的な構成なのか、稀な構成なのかは不明です。その他の脆弱性においては、何らかの形で認証を必要とします。残るRCEの脆弱性のうち3件は、ZDI programを通じて報告されたものです。ZDI所属の脆弱性リサーチャであるHossein Lotfi氏は、Windowsメディア ファンデーションにおけるAVIファイルの構文解析（パース）に内在する脆弱性を発見しました。ZhangYangとして知られる調査では、Visual Studioにおけるヒープオーバーフローの脆弱性を発見し、コードネームのない調査では、Windows Graphicコンポーネントにおけるメモリ解放後使用（UAF）の脆弱性を報告しました。残るRCEの脆弱性が悪用されるには、何らかの形でユーザによる操作を必要としますが、多くの場合、リンクをクリックさせたり、ファイルを開かせたりするものです。唯一の例外は、SharePointに内在する脆弱性で、悪用するにはページの作成権限を持つ認証ユーザを必要とします。デフォルトでは、認証されたユーザであれば、必要な権限を持つ独自のサイトの作成が可能になります。

EoP関連のパッチに目を移すと、5月のリリースでは、先に述べた2件の脆弱性を含め、合計21件の特権昇格の脆弱性が修正されました。これらの脆弱性の多くは、攻撃者がログオンして特別に細工されたコードを実行するか、何らかの形で許可されたユーザに実行させる必要があります。このほかにも目立つパッチはいくつかあります。最も目立つものはExchange Server向けのパッチです。管理者は、このパッチをインストールする前にActive Directoryを特別に準備する必要があります。パッチがダウンロードされた後、コマンドプロンプトから特定のコマンドを実行する必要があります。Microsoft社は、これらの手順に従わなかった場合に何が起こるかを公表していませんが、この脆弱性によってExchange管理者がドメイン管理者になることができるため、この脆弱性を完全に修正するために適切な手順を実行する必要があります。Remote Access Connection Managerには特権昇格の脆弱性が内在していますが、Microsoft社からの詳細な説明がないため、この脆弱性がどのように引き起こされるかは不明です。最後に、印刷スプーラにおけるEoPの脆弱性2件に対する修正がリリースされており、1件はZDIを通じてOliver Lyak氏から報告されたものです。この脆弱性が攻撃者に悪用されると、シンボリックリンクの作成が可能となり、これによりサービスが任意のDLLを読み込む可能性があります。

印刷スプーラと言えば、今月パッチがリリースされた情報漏えいの脆弱性17件のうち2件がこのコンポーネントに影響しますが、2件ともOliver氏がZDIを通じて報告したものです。これらの脆弱性は、ファイル操作で使用する前にユーザが指定したパスを適切に検証できないことが原因です。攻撃者がこれらの脆弱性を悪用した場合、システムコンテキスト内で情報を漏えいさせる可能性があります。今月のリリースに含まれる他の情報漏えいの脆弱性の多くは、不特定のメモリコンテンツで構成される情報を漏えいさせる可能性があります。これに対する他の例外は、Windows Server service（別称：LanManServer）に内在する脆弱性です。Microsoft社は、攻撃者がこの脆弱性を悪用した場合、内部ネットワークを介して特定のファイル名やユーザの存在の有無を確認できる可能性があると言及していますが、どのように引き起こされるかは公表していません。

5月のリリースでは、セキュリティ機能バイパス（SFB）の脆弱性が4件修正されており、それぞれについて言及する価値があります。1つ目は、Hyper-V ネットワークの仮想化（HNV）内で仮想ネットワークを用いる仮想スイッチに関するものです。攻撃者はこの脆弱性を悪用することで、拡張ACLやその他の検査を回避できる可能性があります。これは、あるゲストOSが同一サーバ上に存在する別のゲストOSに影響を与える可能性があることを示唆しています。次は、Windows Officeに内在する脆弱性です。攻撃者はこの脆弱性を悪用して「ThisDocument.RemovePersonalInformation」機能を回避することで、個人を特定できる情報（PII）を取得できる可能性があります。インターネット上でファイルを共有しているが、個人情報を削除したい場合は、必ずこの更新プログラムを適用する必要があります。Windows認証向けの更新プログラムは、中間者攻撃によるクライアント / サーバ間のTLSトラフィックの解読および読み取りや改ざんにつながる脆弱性に対処します。最後に、物理的なアクセスを必要とするBitLockerデバイスの暗号化を回避される脆弱性が修正されていますが、特定のシナリオ下では攻撃者が暗号化されたデータにアクセスできる可能性があります。これらの脆弱性2件は、悪用される可能性が少し低いかもしれませんが、実際に悪用された場合、その影響力はかなり深刻なものになる可能性があります。これらのような脆弱性は、著名な標的組織への攻撃に用いるために高度な技術を持つ攻撃者集団が求めているものです。

5月のリリースは、Hyper-V、WLAN Autoconfig Service、.NETおよびVisualStudioにおけるサービス拒否（Denial-of-Service、DoS）の脆弱性に対処する6件の更新プログラムで締めくくられています。WLANの脆弱性は、論理的に隣接したトポロジに限定されており、インターネットからは到達できません。Hyper-Vの脆弱性は一般に公開「あり」と記載されていますが、Microsoft社は、投稿された場所や公開された内容に関する情報を公表していません。.NETおよびVisual StudioにおけるDoSの脆弱性が複数記載されていますが、それ以上の詳細は公表されていません。これらの.NETにおける脆弱性の1件は、今月のリリースで唯一の「低（Low）」評価された脆弱性です。

今月は、Azure Data FactoryおよびAzure Synapseパイプラインに影響を与える脆弱性を軽減・修正するための新しいアドバイザリが1つ公表されました。これは、本記事でも紹介したCVE-2022-29972に対処するものです。最新のサービススタック更新プログラムは、改訂版ADV990001に記載されています。

参考記事：

• 「THE MAY 2022 SECURITY UPDATE REVIEW」
  By Dustin Childs

翻訳：益見 和宏（Core Technology Marketing, Trend Micro™ Research）