2013 年 8 月のセキュリティ情報 (月例) – MS13-059 〜 MS13-066 - 日本のセキュリティチーム - Site Home - TechNet Blogs（情報元のブックマーク数）

IT セキュリティ

更新忘れてました・・・緊急3件、重要5件です。

先週金曜日に事前通知でお知らせしましたとおり、本日、新規セキュリティ情報 合計 8 件 (緊急 3 件、重要 5 件) を公開しました。

2013 年 8 月のセキュリティ情報 (月例) – MS13-059 ～ MS13-066 – 日本のセキュリティチーム
セキュリティ情報 ID セキュリティ情報タイトル 最大深刻度 脆弱性の影響 再起動の必要性 影響を受けるソフトウェア
MS13-059 Internet Explorer 用の累積的なセキュリティ更新プログラム (2862772) 緊急 リモートでコードが実行される 要再起動 Windows XP、 Windows Server 2003、Windows Vista、Windows Server 2008、 Windows 7、 Windows Server 2008 R2、Windows 8、Windows Server 2012、および Windows RT 上の Internet Explorer
MS13-060 Unicode スクリプト プロセッサの脆弱性により、リモートでコードが実行される (2850869) 緊急 リモートでコードが実行される 再起動が必要な場合あり Windows XP および Windows Server 2003
MS13-061 Microsoft Exchange Server の脆弱性により、リモートでコードが実行される (2876063) 緊急 リモートでコードが実行される 再起動が必要な場合あり Microsoft Exchange Server 2007、 Exchange Server 2010、および Exchange Server 2013
MS13-062 リモート プロシージャ コールの脆弱性により、特権が昇格される (2849470) 重要 特権の昇格 要再起動 Windows XP、 Windows Server 2003、Windows Vista、Windows Server 2008、 Windows 7、 Windows Server 2008 R2、Windows 8、Windows Server 2012、および Windows RT
MS13-063 Windows カーネルの脆弱性により、特権が昇格される (2859537) 重要 特権の昇格 要再起動 Windows XP、 Windows Server 2003、Windows Vista、Windows Server 2008、 Windows 7、 Windows Server 2008 R2、および Windows 8
MS13-064 Windows NAT ドライバーの脆弱性により、サービス拒否が起こる (2849568) 重要 サービス拒否 要再起動 Windows Server 2012
MS13-065 ICMPv6 の脆弱性により、サービス拒否が起こる(2868623) 重要 サービス拒否 要再起動 Windows Vista、 Windows Server 2008、Windows 7、 Windows Server 2008 R2、Windows 8、Windows Server 2012 および Windows RT
MS13-066 Active Directory フェデレーション サービスの脆弱性により、情報漏えいが起こる(2873872) 重要 情報漏えい 再起動が必要な場合あり Windows Server 2003、Windows Server 2008、 Windows Server 2008 R2、および Windows Server 2012
2013 年 8 月のセキュリティ情報 (月例) – MS13-059 ～ MS13-066 – 日本のセキュリティチーム

いろいろ面倒なパッチばかりだ。

本日、私たちは 23 件の CVE を解決する 8 件のセキュリティ情報をリリースしました。セキュリティ情報の内、3 件は最大深刻度が「緊急」、そして 5 件が「重要」でした。お客様の環境に最適な更新プログラムの適用優先順位の決定が行えるよう、以下の表をご活用ください。

2013 年 8 月のセキュリティ更新プログラムに関してリスクを評価する – 日本のセキュリティチーム
セキュリティ情報 最も起こりうる攻撃 セキュリティ情報最大深刻度 最大悪用可能性指標 公開 30 日以内の影響 プラットフォーム緩和策、および特記事項
MS13-059
(Internet Explorer)		 被害者が悪意のある Web ページを閲覧する。 緊急 1 30 日以内に悪用コードが作成される可能性があります。 CanSecWest pwn2own 悪用の一部として使用される ASLR バイパスも解決します。(VUPEN Adobe Flash の悪用で使用される IE9 仲介の問題)
MS13-060
(ブラウザ内の Unicode フォント)		 インド語派の言語パックをインストールしている被害者が、悪意のある Web ページを閲覧する。 緊急 2 30 日以内に悪用コードが作成される可能性は低いです。 Bangali font (英語情報)がインストールされている、Windows XP、および Windows 2003 マシンのみに影響を与えます。詳細情報は次のとおりです。 http://www.bhashaindia.com/ilit/GettingStarted.aspx?languageName=Tamil (英語情報)
MS13-061
(Oracle Outside In for Exchange)		 攻撃者は、悪意のある添付ファイルが付いた電子メールを送り、被害者が Outlook Web Access 内の Web ページとして添付ファイルを閲覧するよう誘導します。攻撃者は、Web ページを作成しているサーバー側のプロセスを危険にさらす可能性があります。 緊急 2 30 日以内に悪用コードが作成される可能性は低いです。 Oracle 2013 年 7 月のセキュリティ更新プログラムに記載されている、Oracle Outside In の問題を解決します。http://www.oracle.com/technetwork/topics/security/cpujuly2013-1899826.html (英語情報)
MS13-063
(カーネル)		 既にマシン上でコードを実行している攻撃者が、この脆弱性を特権の低いアカウントから SYSTEM に昇格するために利用します。 重要 1 30 日以内に悪用コードが作成される可能性があります。 CanSecWest pwn2own 悪用の一部として使用される LdrHotPatchRoutine Windows ASLR バイパスを解決します。この更新プログラムにおける、前述の状況についてはこの SRD ブログ投稿 (英語情報) で詳細情報を読むことができます。
MS13-062
(RPC)		 特権の高いユーザーとして同じマシン上でリモート リソースに対し、非同期の RPC リクエストをする攻撃者は、特権の高いユーザーとして、RPC リクエストを実行できる可能性があります。（例：より特権の高いユーザーが、継続的に印刷ジョブを投稿しているプリント サーバー シナリオ） 重要 1 30 日以内に悪用コードが作成される可能性があります。しかしながら、制限されたシナリオの場合に、攻撃が行われる可能性があります。 これは、いくつかの事前条件のある、事後承認競合条件攻撃 (post-auth race condition attack) です。信頼性をもたらすことは困難です。
MS13-066
(Active Directory		 フェデレーション サービス)攻撃者は、ユーザーへのサービスを拒否する ADFS によって使用されるサービス アカウントからロックアウトするために、情報漏えいを使用することができます。 重要 3 サービス拒否のみ。
MS13-065
(ICMP)		 悪意のある ICMP パケットを送信している攻撃者が、被害者の受信環境でサービス拒否を引き起こします。 重要 3 サービス拒否のみ。 これを再現するのは困難です。サードパーティ製のドライバーがインストールされている、および、ページ境界と合致するメモリ内に保管されているパケットが必須である可能性が高いです。
MS13-064
(NAT ドライバー)		 攻撃者は、サービス拒否を引き起こしている Direct Access サーバーに対して、悪意のあるネットワーク攻撃を行います。 重要 3 サービス拒否のみ。 WinNat サービスを稼働しているマシンのみに影響を与えます。このサービスは、Windows Server 2012 で初めて紹介され、デフォルトではオフ設定です。
2013 年 8 月のセキュリティ更新プログラムに関してリスクを評価する – 日本のセキュリティチーム

今月はPATCH NOWは無しで

Overview of the August 2013 Microsoft patches and their status.

InfoSec Handlers Diary Blog - Microsoft August 2013 Black Tuesday Overview

関連URL

screenshot