アップル、グーグル、そして Microsoftは今月、すでに攻撃に利用されている複数のセキュリティ上の欠陥を修正するための大型パッチをリリースした。 5 月はエンタープライズ ソフトウェアにとって重要な月でもあり、GitLab、SAP、Cisco は自社製品の複数のバグに対する修正をリリースしました。
について知っておくべきことはすべてここにあります セキュリティアップデート 5月に発売。
Apple iOS および iPadOS 16.5
Appleが待望のポイントアップデートをリリース iOS16.5、39 の問題に対処しており、そのうちの 3 つはすでに現実の攻撃で悪用されています。 iOS のアップグレードでは、オペレーティング システムの中心となるカーネルと、Safari ブラウザを動かすエンジンである WebKit の脆弱性にパッチが適用されます。 すでに悪用されている 3 つの欠陥は、WebKit で修正された 5 つの欠陥のうちの 1 つであり、CVE-2023-32409、CVE-2023-28204、および CVE-2023-32373 として追跡されています。
CVE-2023-32409 これは、攻撃者が Web コンテンツ サンドボックスからリモートで侵入できる可能性がある問題であると、Google 脅威分析グループの Clément Lecigne 氏とアムネスティ インターナショナル セキュリティ ラボの Donncha Ó Cearbhaill 氏によって報告されました。 CVE-2023-28204 は、ユーザーが機密情報を漏らす危険性がある欠陥です。 最後に、CVE-2023-32373 は、任意のコードの実行を可能にする可能性がある解放後の使用のバグです。
今月初め、Apple は iPhone メーカー史上初となる iOS 16.4.1 (a) と iPadOS 16.4.1 (a) をリリースしました。 迅速なセキュリティ対応 更新 – 後者の 2 つの悪用された WebKit 脆弱性を修正し、iOS 16.5 にもパッチが適用されました。
Apple iOS および iPadOS 16.5 は、古い iPhone 用の iOS 15.7.6 および iPadOS 15.7.6、Windows 用の iTunes 12.12.9、Safari 16.5、macOS Big Sur 11.7.7、macOS Ventura 13.4、および macOS Monterey 12.6 と一緒に発行されました。 6.
アップルも 解放された Beats と AirPods ヘッドフォンの最初のセキュリティ アップデート。
マイクロソフト
Microsoftは月中旬のPatch Tuesdayで40件のセキュリティ問題を修正し、そのうち2件はすでに攻撃に利用されているゼロデイ欠陥だった。 最初のゼロデイ脆弱性、 CVE-2023-29336は、Win32k ドライバーの特権昇格のバグであり、攻撃者がシステム特権を取得できる可能性があります。
2番目の重大な欠陥は、 CVE-2023-24932は、セキュア ブート セキュリティ機能のバイパスの問題であり、特権を持つ攻撃者がコードを実行できる可能性があります。 Microsoftは「攻撃者がこの脆弱性の悪用に成功すると、セキュアブートをバイパスする可能性がある」と述べ、この欠陥の悪用は困難であると付け加えた。「この脆弱性の悪用に成功するには、攻撃者がデバイスの管理者の資格情報を侵害する必要がある」と述べた。
このセキュリティ更新プログラムは完全な修正ではなく、Windows ブート マネージャーを更新することで脆弱性に対処しますが、これにより問題が発生する可能性があると同社は警告しています。 Microsoftは、現時点では脆弱性を軽減するには追加の手順が必要であると述べ、次のように指摘した。 ステップ 影響を受けるユーザーは、問題を軽減するために講じることができます。
グーグルアンドロイド
Googleがリリースしたのは、 最新の Android セキュリティ パッチ、すでに悪用されているカーネルの脆弱性を含む 40 件の欠陥を修正します。 このアップデートには、Android フレームワーク、システム、カーネル、MediaTek、Unisoc、および Qualcomm コンポーネントの問題の修正も含まれています。
これらの問題のうち最も深刻なものは、ローカルでの権限昇格につながる可能性があるフレームワークコンポーネントの重大度の高いセキュリティ脆弱性であるとGoogleは述べ、悪用するにはユーザーの操作が必要であると付け加えた。
以前 にリンク 商用スパイウェアベンダー、 CVE-2023-0266 これはカーネルの問題であり、ローカルでの権限の昇格につながる可能性があります。 悪用にはユーザーの操作は必要ありません。