2023 年 2 月の Patch Tuesday に関する Akamai の見解

CVE-2023-21823

まず、Windows Graphic コンポーネントのリモートコード実行（RCE）の脆弱性について説明します。この脆弱性はリモート攻撃に関するものですが、 攻撃ベクトル はローカルの扱いになっています。おそらくその意味は、これが任意のコード実行（ACE）の脆弱性に近いということを表し、ダウンロードしたファイルをユーザーが操作する必要があるということです。

珍しいことですが、この CVE は Microsoft Office、iOS、Android の各バージョンにも影響します。そのため、今回の更新プログラムの配信は、Windows Update 経由だけでなく Microsoft Store、Google Play、App Store でも行われています。いずれかのストアで自動更新を無効にしている場合は、必ずデバイスで更新していただくようお願いします。

CVE-2023-21715

これは Microsoft Publisher のセキュリティ回避の脆弱性です。具体的には、「Mark-of-the-Web」（MOTW）に関するものです。通常、インターネットからダウンロードされたファイルは内部的にマークされるため、オペレーティングシステムやプログラムはそれらのファイルを信頼してはならないこと、ファイル（あるいはファイル内のマクロ）を自動で実行してはならないことを認識します。具体的に言うと、これまでは Microsoft Publisher が MOTW に対応しておらず、Web からダウンロードしたファイル内のマクロ実行が可能となっていました。それが、この CVE で修正されています。セキュリティ研究者の Haifei Li 氏が、より詳細な分析を X（旧 Twitter）に投稿しています。

CVE-2023-23376

これは Windows 共通ログ・ファイル・システム・ドライバーの特権昇格の脆弱性で、攻撃者によるシステム権限の取得を可能にするものです。現時点でこれ以上の詳細情報はありません。

iSCSI は、SCSI ストレージデバイスとの接続に使用されるプロトコルです。Windows では、マシンに iSCSI Initiator プロセスと Microsoft iSCSI Initiator Serviceが搭載されています。どちらも、デフォルトでは実行されず、手動での実行と設定が必要です。 当社の調査によると、ネットワーク上に Windows iSCSI が実行されているマシンがある割合はわずか 3% です。

今月は、1 つのクリティカルな RCE と、3 つの DoS CVE があります。明示的には言及されていないものの、当社では今回の CVE は Microsoft iSCSI Initiator Serviceに関するものだと考えています。さらに、今回の RCE は 32 ビットマシンでのみ動作すると言われています。

Q： 私のマシンはかわいい動物が描かれた電子バレンタインカードを送信してビジー状態になっているため、パッチ適用や再起動ができません。その間、何らかの形でマシンを保護することはできますか？

iSCSI サービスはデフォルトでは実行されません。したがって、iSCSI サービスを実行するマシンをマッピングし、そのマシン用のセグメンテーションポリシーを作成できるはずです。iSCSI サービスへの多数の受信接続はないと考えられるため、マイクロセグメンテーションを使用して、サービスに対するマシン外部からのアクセスを制限します。これで、マシンの空いている時間を活用して、パッチを適用する時間を作れるはずです。

iSCSI を搭載したマシンをマッピングするためには、TCP ポート 860 および 3260（デフォルトの iSCSI ポート）を介する接続がないか探します。また、 Microsoft iSCSI Initiator Serviceというサービスそのものを探すという方法もあります。

以下の例は、そのための osquery クエリーです。

今月は Microsoft の SQL Server に 3 つの RCE CVE があります。うち 2 つ（CVSS のベーススコアは 8.8）は、オプション機能の SQL Data Quality Services（DQS）用です。3 つ目の CVE の CVSS スコアは 7.8 です。当社の調査によると、 60% のネットワークに MSSQL Server が存在し、40% には DQS も導入されています。

SQL Server には通常、機密情報が保管されていることから、データ盗難インシデントを防止するためにセグメント化し、アクセス制御の制限をかける必要があります。こうしたポリシーがない場合は、今回が新たに取り入れる良い機会です。既存の MSSQL Server をマッピングし（MSSQL サービスを検索、またはポート 1433、1434 経由の接続を検索）、それが完了したら、既存のトラフィックや、アクセスが必要な他のセグメント（IT からすべて、財務から財務、など）に基づいて、セグメンテーションポリシーを作成します。これは、悪質な行為をしている人や、本来はアクセス権限のないデータベースにアクセスしている人を見つける良い機会にもなります。

OLE と ODBC で見ると、今月は SQL に関連する CVE が他に 7 つあります。これらについては以前のアドバイザリで取り上げましたが、推奨事項に変更はありません（CVE についても同様のようです）。詳しくは、 以前に対応したサービスをご参照ください。

Microsoft Word で RTF ファイルを扱う際のクリティカルな RCE CVE（スコア 9.8）が 1 つあります（バレンタインデーに贈られて嬉しいものはパッチではなく赤い花なのですが）。

今回の場合は、特に巧妙に細工された RTF ファイルを Word で開いた際にコマンド実行がトリガーされる可能性があります。また、プレビューペインと SharePoint にも影響します。Microsoft は次の 2 つの緩和策を公開しています。

• MS08-026 — Word で RTF ファイルを開けないようにします。

• KB922849 — 特定のフォルダーからファイルを開けなくするための方法に関する情報を提供しています。

以前に対応したサービス