パッチ チューズデーに関する Ivanti の分析によると、XNUMX 月は欧州のサイバー セキュリティ月間です。 これは、企業が独自のセキュリティ戦略を見直す良い機会です。つまり、IT および IT セキュリティ チームは、全体的なサイバー衛生の最も重要な側面にどこまで集中できるでしょうか。
ここでは、脆弱性管理が常に特別な役割を果たします。 マイクロソフトは 18 年間にわたり、パッチ チューズデーに新しいパッチのリリースをバンドルしてきました。これにより、企業はテストとメンテナンスのウィンドウを統合し、一般的なソフトウェアのセキュリティ脆弱性をより予測可能な方法で修正できるようになりました。
パッチ適用: IT チームに対するさまざまな要求
XNUMX 月の火曜日のパッチ: いくつかの重要な脆弱性が再び存在します (画像: Ivanti)。
しかし、パッチ適用に関する IT チームへの要求は近年変化しています。Microsoft & Co. 以外のソフトウェア製品で満たされ、同時に非常に異なるバージョンとバージョンを持つ IT 環境を保護するのにますます苦労しています。リリースサイクルが機能します。 最後になりましたが、Ivanti による現在の調査によると、すべてのセキュリティ スペシャリストの 71% が、脆弱性管理に時間がかかりすぎて複雑すぎると不満を漏らしています。 その結果、調査参加者の 62% が述べているように、パッチ適用はますます他のタスクに後回しになっています。 この研究のさらなる結果は、ダウンロードできます。
XNUMX 月の Patch Tuesday の評価
今月、マイクロソフトは合計 74 件の新しいセキュリティ脆弱性 (CVE) と 2021 件の再リリースされた CVE を解決する更新プログラムをリリースしました。 これらには、公開された 40449 つの脆弱性と 76 つのゼロデイ (CVE-365-XNUMX) が含まれます。 マイクロソフトは今月、XNUMX 件の CVE のうち XNUMX 件を重大と評価しました。 今月の更新プログラムは、Windows オペレーティング システム、Office XNUMX、Exchange Server、Intune、System Center、.Net Core と Visual Studio、および AD、ADFS、Hyper-V、DNS のさまざまな役割に影響します。
CVE-2021-40449 は、Windows 32 および Server 7 から Windows 2008 および Server 11 までの Windows オペレーティング システムにおける Win2022k (特権の昇格) の脆弱性です。 これは、組織がセキュリティの脆弱性に対処する際にリスクを優先する必要がある理由の良い例です。 脆弱性管理に対するリスクベースのアプローチでは、既知の脆弱性、開示、攻撃者による脆弱性悪用の傾向など、より現実的な指標を考慮します。 このアプローチの目標は、どの脆弱性チームが最初に迅速に取り組むべきかをよりよく理解することです。
マイクロソフトは、より多くの脆弱性をクローズします
Microsoft は、Windows AppContainer ファイアウォールの CVE-2021-41338 脆弱性も修正しました。これは、セキュリティ機能をバイパスするために使用できます。 この脆弱性は、概念実証コードを含めて公開されています。 これにより、攻撃者はエクスプロイトを開発できます。 この脆弱性は、Windows 10、Server 2016 以降のバージョンに存在します。
一方、CVE-2021-41335 は、権限昇格を可能にする Windows カーネルの脆弱性です。 この脆弱性は、Windows 7 から Windows 10 および Server 2008 から Server 2019 のバージョンに存在し、CVE は概念実証コードを含めて公開されています。 Microsoft は、Windows DNS のリモート コード実行の脆弱性である CVE-2021-40469 も修正しました。 この脆弱性は、DNS サーバーとして構成されたサーバーにのみ影響し、Server 2008 から Server 2022 に適用されます。脆弱性は公開されており、概念実証コードも含まれています。
XNUMX月の改善
Microsoft は CVE-2021-33781 で、Azure AD のセキュリティ機能を回避できる脆弱性を修正しました。 このギャップは、もともと 10 月の火曜日のパッチで修正されました。 この更新により、影響を受ける他のバージョンの Windows 1607 (2016) Server 11 および Windows XNUMX が追加されました。
Adobe は、Acrobat と Reader、Connect、Reader Mobile、Commerce、Campaign Standard、ops-cli の 21 つを含む 91 つのアップデートをリリースしました。 Adobe Connect (APSB21-88) および ops-cli (APSB9,8-10) の更新には、CVSS 基本スコアが 21 点満点中 104 の重大な CVE が含まれています。 このアップデートでは合計 7,8 つの脆弱性が修正され、そのうち XNUMX つが CVSS スコア XNUMX で重大に分類されました。
Adobe、FoxIT、Google など
FoxIt PDF は、多くの脆弱性に対処する Windows および macOS エディションの更新をリリースしました。 XNUMX つの CVE と多数の ID が特定され、修正されました。 これらは、Trend Zero Day Initiative および China National Vulnerability Database によって特定された脆弱性です。 詳細については、Foxit PDF Editor の更新ページをご覧ください。
Google Chrome は 25 月のパッチ チューズデイ以降、合計 19 回のリリースがあり、合計 XNUMX の CVE が解決されました。 一方、Oracle は XNUMX 月 XNUMX 日まで四半期ごとの CPU をリリースしません。 IT チームは、この時期にオラクルの Java、Oracle DB、ミドルウェア、およびその他の製品の更新を詳しく調べる必要があります。