Microsoft、2024年10月の月例更新 - 119件の脆弱性への対応が行われる

マイクロソフトでは、セキュリティ更新プログラム、セキュリティアドバイザリに関する注意点として、以下をあげる。

今月のセキュリティ更新プログラムで修正した脆弱性のうち、以下の脆弱性は更新プログラムが公開されるよりも前に、悪用が行われていることや、脆弱性の詳細が一般へ公開されていることを確認している。ユーザーにおいては、更新プログラムの適用を早急に行ってほしい。脆弱性の詳細は、各CVEのページを参照してほしい。

CVE-2024-43583 Winlogonの特権の昇格の脆弱性

CVE-2024-43572 Microsoft管理コンソールのリモートでコードが実行される脆弱性

CVE-2024-20659 Windows Hyper-Vのセキュリティ機能のバイパスの脆弱性

CVE-2024-6197オープンソースCurlのリモートでコードが実行される脆弱性

CVE-2024-43573 Windows MSHTMLプラットフォームのなりすましの脆弱性

今月のセキュリティ更新プログラムで修正した脆弱性のうち、CVE-2024-43468 Microsoft Configuration Managerのリモートでコードが実行される脆弱性は、CVSS 基本値が9.8と高いスコアで、認証やユーザーの操作なしで悪用が可能な脆弱性である。これらの脆弱性が存在する製品、および悪用が可能となる条件については、各CVEのページの「よく寄せられる質問」を参照してほしい。セキュリティ更新プログラムが公開されるよりも前に、脆弱性の情報の一般への公開、脆弱性の悪用はないが、脆弱性の特性を鑑み、企業組織では早急なリスク評価とセキュリティ更新プログラムの適用を推奨している。
セキュリティ更新プログラムにおける既知の問題は、各セキュリティ更新プログラムのサポート技術情報を参照してほしい。既知の問題が確認されている各セキュリティ更新プログラムのサポート技術情報一覧は、[2024年10月セキュリティ更新プログラムリリースノート](https://msrc.microsoft.com/update-guide/releaseNote/2024-Oct）に掲載されている。

CVE-2024-26248およびCVE-2024-29056に関連するPAC検証の変更について、2024年10月8日（米国時間）に予定していた、変更後のPAC検証の動作の強制適用を2025年1月に延期した。詳細は、KB5037754：CVE-2024-26248およびCVE-2024-29056に関連するPAC検証の変更を管理する方法を参照してほしい。