9月のセキュリティ更新プログラムを公開、2つの脆弱性で悪用を確認

　独立行政法人 情報処理推進機構（IPA）と一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）は9月13日、マイクロソフトが「2023年9月のセキュリティ更新プログラム」を公開したことを受け、注意喚起を発表した。

　マイクロソフト製品などに確認された脆弱性を解消する「2023年9月のセキュリティ更新プログラム（月例）」が公開されたのは9月12日（米国時間）で、対象となる製品やコンポーネントも多岐に及んでいる。

　特に、CVE-2023-36802、CVE-2023-36761の脆弱性は、マイクロソフトが悪用の事実を確認済みと公表しており、今後被害が拡大するおそれがあるため、至急、修正プログラムを適用するよう呼びかけている。

　CVE-2023-36802は、Microsoft Stream Services サービスのプロキシの特権の昇格の脆弱性であり、ローカルでの攻撃ではあるものの、攻撃者がこの脆弱性を悪用した場合、SYSTEM特権を獲得する可能性がある。

　CVE-2023-36761は、Microsoft Word の情報漏えいの脆弱性であり、こちらもローカルの攻撃区分となるが、この脆弱性が悪用されると、NTLMハッシュが漏えいする可能性がある。プレビュー ウィンドウも攻撃対象になるとしている。

　これらの脆弱性を悪用された場合、アプリケーションプログラムが異常終了したり、攻撃者によってPCを制御されたりして、様々な被害が発生するおそれがある。

　IPA、JPCERT/CCともに、マイクロソフトが提供する情報を参照し、早急に更新プログラムを適用するよう呼びかけている。