8月は Apple、Google、および Microsoft が、すでに悪用された脆弱性に対する緊急修正を発行する企業の中で、セキュリティ パッチの豊作の月でした。 また、この月には、VMWare、Cisco、IBM、Zimbra などから大きな修正がいくつか寄せられました。
8 月に公開された重要なセキュリティ修正プログラムについて知っておくべきことはすべてここにあります。
アップル iOS 15.6.1
2 か月のパッチ休止の後、複数の修正が続きます 7月に、 アップル リリース iOS 15.6.1 の 8 月の緊急セキュリティ アップデート。 iOS アップデートでは 2 つの欠陥が修正されましたが、どちらも実際に攻撃者によって使用されていました。
WebKit (CVE-2022-32893) とカーネル (CVE-2022-32894) の脆弱性は、 連鎖した 攻撃で、深刻な結果をもたらします。 攻撃が成功すると、攻撃者が iPhone を乗っ取り、機密ファイルや銀行の詳細にアクセスできるようになる可能性があります。
Sophos の主任研究員である Paul Ducklin は、この 2 つの欠陥を組み合わせることで、「通常、デバイスの脱獄を実装するために必要なすべての機能を提供する」ことで、Apple が課すセキュリティ制限のほとんどすべてを回避できると書いています。 ブログ 脆弱性を分析しています。 これにより、攻撃者が「バックグラウンドでスパイウェアをインストールし、ユーザーを包括的な監視下に置く」ことができるようになる可能性があると、Ducklin 氏は説明しています。
Apple は常に、ほとんどの人が更新するまで脆弱性の詳細を公開することを避けているため、攻撃対象が誰であったかを知ることは困難です。 安全を確保するために、遅滞なくデバイスを iOS 15.6.1 に更新する必要があります。
Apple はまた、iPadOS 15.6.1、watchOS 8.7.1、および macOS Monterey 12.5.1 をリリースしました。これらはすべて、次の機会に更新する必要があります。
グーグルクローム
Google は 8 月にセキュリティ アップデートをリリースし、 5回目のゼロデイ 今年の欠陥。 で 勧告、Google は 8 月に修正された 11 の脆弱性をリストしました。 パッチには、 解放後の使用 FedCM の欠陥 — として追跡 CVE-2022-2852 および重大と評価されたほか、6 つの高評価の問題と、中程度の影響があると分類された 3 つの問題があります。 高評価の脆弱性の 1 つが攻撃者によって悪用されました。 CVE-2022-2856.
Google は悪用された脆弱性について詳細を明らかにしていませんが、攻撃者が詳細を把握しているため、今すぐ Chrome を更新することをお勧めします。
8 月上旬、Google リリース Chrome 104。27 件の脆弱性を修正し、そのうち 7 件は影響が大きいと評価されました。
グーグルアンドロイド
8月のアンドロイド セキュリティパッチ 追加の特権を必要とせずにローカルの特権エスカレーションにつながる可能性のあるフレームワークの欠陥を含む、重大な脆弱性に対する数十の修正が含まれた、非常に大きなものでした。 一方、メディア フレームワークに問題があると、リモートで情報が漏えいする可能性があり、システムに欠陥があると、Bluetooth を介してリモートでコードが実行される可能性があります。 カーネル コンポーネントの脆弱性も、ローカルでの権限昇格につながる可能性があります。
Androidのセキュリティパッチは 遅い 8 月にリリースされましたが、Google の Pixel シリーズ、Nokia T20、Samsung Galaxy デバイス (Galaxy S シリーズ、Galaxy Note シリーズ、Galaxy Fold シリーズ、Galaxy Flip シリーズを含む) などのデバイスで利用できるようになりました。
マイクロソフト
マイクロソフトの 8 月のパッチの火曜日 100 を超えるセキュリティ上の欠陥が修正され、そのうち 17 が重大と評価されています。 修正の中には、次のように追跡されている、すでに悪用された欠陥に対するパッチが含まれていました。 CVE-2022-34713、ドッグウォークとも呼ばれます。
Windows Support Diagnostic Tool (MDST) のリモート コード実行 (RCE) の脆弱性は、悪用するとシステムが侵害される可能性があるため、影響が大きいと評価されています。 Windows および Windows Server のすべてのユーザーに影響を与える脆弱性は、最初に 露出 2 年以上前の 2020 年 1 月に発生しましたが、Microsoft は当時、これをセキュリティ上の問題とは見なしていませんでした。
VMウェア
VMウェア 修繕 として追跡されている重大な認証バイパスのバグを含む、8 月の多数の欠陥。 CVE-2022-31656. パッチのリリース時に、ソフトウェア会社は公開されたエクスプロイト コードが利用可能であると警告しました。
VMWare は、VMware Workspace ONE Access、Identity Manager、および Aria Automation (以前の vRealize Automation) の RCE 脆弱性も修正しました。 CVE-2022-31658 CVSS スコアは 8 です。 一方、VMware Workspace ONE Access と Identity Manager で見つかった SQL インジェクション RCE 脆弱性も CVSS スコア 8 を獲得しました。 どちらも、攻撃者がリモート コード実行をトリガーするには、管理者とネットワーク アクセスが必要です。