Reading Time: 2 minutes
この記事の所要時間: 約 10分

皆さま、こんにちは。
ManageEngine Desktop Centralの製品担当のUematsuです。
Microsoftのセキュリティ更新プログラムのリリースからすでに2週間経過してしまいましたが、既に適用は済みましたか?
本日も2018年9月度のMicrosoftセキュリティ更新プログラムの概要ManageEngine Desktop Centralについてご紹介いたします。

【概要】
2018年9月12日(日本時間)、Microsoftは以下のソフトウェアに関するセキュリティ更新プログラムを公開しました。
・Internet Explorer
・Microsoft Edge
・Microsoft Windows
・Microsoft Office, Micrsoft Office ServersおよびWeb Apps
・ChakraCore
・Adobe Flash Player
・.NET Framework
・Microsoft.Data.OData
・ASP.NET

今回のセキュリティ更新プログラムでは61件の脆弱性が修正されていますが、脆弱性の深刻度が「緊急」に指定されているものだけで18件ございます。
個人的に危険だと感じた脆弱性の概要については以下の表をご覧ください。

脆弱性の概要 KB番号 深刻度 概要 影響を受ける製品 参考URL
ADV180023 KB4457146 重要 権限昇格の脆弱性 Adobe Flash Player https://portal.msrc.microsoft.com/ja-jp/security-guidance/advisory/ADV180023
CVE-2018-0965 KB4457128 KB4457131 KB4457138 KB4457142 緊急 Windows Hyper-V のリモートでコードが実行される脆弱性 Windows 10 version 1607, 1703, 1803
Windwos Server 2016,
Windows Server version 1709 1803
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2018-0965
CVE-2018-8332 KB4457128 KB4457129 KB4457131 KB4457132 KB4457135 KB4457138
KB4457140 KB4457142 KB4457143 KB4457144 KB4457145 KB4457984
KB4458010
緊急 Win32k Graphics のリモートでコードが実行される脆弱性 Windows 7以降
Windows Server 2008以降
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2018-8332
CVE-2018-8367 KB4457128 KB4457131 KB4457132 KB4457138 KB4457142 緊急 Chakra スクリプト エンジンのメモリ破損の脆弱性 ChakraCore,
Microsoft Edge
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2018-8367
CVE-2018-8420 KB4457128 KB4457129 KB4457131 KB4457132 KB4457135 KB4457138
KB4457140 KB4457142 KB4457143 KB4457144 KB4457145 KB4457984
KB4458010
緊急 MS XML のリモートでコードが実行される脆弱性 Windows 7以降
Windows Server 2008以降
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2018-8420
CVE-2018-8421 KB4457025 KB4457026 KB4457027 KB4457028 KB4457029 KB4457030
KB4457033 KB4457034 KB4457035 KB4457036 KB4457037 KB4457038
KB4457042 KB4457043 KB4457044 KB4457045 KB4457053 KB4457054
KB4457055 KB4457056 KB4457128 KB4457131 KB4457132 KB4457138
KB4457142
緊急 .NET Framework のリモートでコードが実行される脆弱性 Microsoft .NET Framework 2.0以降 https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2018-8421
CVE-2018-8439 KB4457128 KB4457129 KB4457131 KB4457132 KB4457138 KB4457142
KB4457143
緊急 Windows Hyper-V のリモートでコードが実行される脆弱性 Windows 8.1以降
Windows Server 2012以降
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2018-8439
CVE-2018-8440 KB4457128 KB4457129 KB4457131 KB4457132 KB4457135 KB4457138
KB4457142 KB4457143 KB4457144 KB4457145 KB4457984 KB4458010
KB4457143
重要 Windows ALPC の特権の昇格の脆弱性 Windows 7以降
Windows Server 2008以降
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2018-8440
CVE-2018-8447 KB4457128 KB4457129 KB4457131 KB4457132 KB4457138 KB4457142
KB4457144 KB4457426
緊急 Internet Explorer のメモリ破損の脆弱性 Internet Explorer 9以降 https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2018-8447
CVE-2018-8456 KB4457128 KB4457138 KB4457142 緊急 スクリプト エンジンのメモリ破損の脆弱性 ChakraCore,
Microsoft Edge
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2018-8456
CVE-2018-8457 KB4457128 KB4457129 KB4457131 KB4457132 KB4457138 KB4457142
KB4457144 KB4457426
緊急 スクリプト エンジンのメモリ破損の脆弱性 Internet Explorer 10以降, Microsoft Edge https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2018-8459
CVE-2018-8459 KB4457128 緊急 スクリプト エンジンのメモリ破損の脆弱性 ChakraCore,
Microsoft Edge
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2018-8461
CVE-2018-8461 KB4457128 KB4457142 緊急 Internet Explorer のメモリ破損の脆弱性 Internet Explorer 11 https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2018-8461
CVE-2018-8464 KB4457128 KB4457131 KB4457132 KB4457138 KB4457142 緊急 Microsoft Edge PDF のリモートでコードが実行される脆弱性 ChakraCore,
Microsoft Edge
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2018-8464
CVE-2018-8465 KB4457128 KB4457131 KB4457138 KB4457142 緊急 Chakra スクリプト エンジンのメモリ破損の脆弱性 ChakraCore,
Microsoft Edge
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2018-8465
CVE-2018-8466 KB4457128 KB4457131 KB4457132 KB4457138 KB4457142 緊急
警告
Chakra スクリプト エンジンのメモリ破損の脆弱性 ChakraCore,
Internet Explorer 9以降, Microsoft Edge
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2018-8466
CVE-2018-8467 KB4457128 KB4457131 KB4457132 KB4457138 KB4457142 緊急
警告
Chakra スクリプト エンジンのメモリ破損の脆弱性 Microsoft Edge https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2018-8467
CVE-2018-8475 KB4457128 KB4457129 KB4457131 KB4457132 KB4457135 KB4457138
KB4457140 KB4457142 KB4457143 KB4457144 KB4457145 KB4457984
KB4458010
緊急 Windows のリモートでコードが実行される脆弱性 Windows 7以降
Windows Server 2008以降
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2018-8475

これらの脆弱性が悪用された場合、アプリケーションの異常終了や任意のコードが実行されるなどの被害が発生する可能性があります。
特にCVE-2018-8440の脆弱性については、Microsoft社より「脆弱性悪用の事実を確認済」と公表しているため、被害が拡大する可能性があります。 

【対策】
上記の脆弱性への対策としてはMicrosoftが提供しているセキュリティ更新プログラムを適用する必要があります。

さて前回のブログでは、パッチ管理に強みのあるクライアント管理ソフト ManageEngine Desktop Centralの簡単な概要と、Desktop Centralがいかにして最新のパッチ情報や脆弱性情報を取得しているか、などのアーキテクチャーを中心にご紹介いたしました。

本日はさらに踏み込み、パッチを実際にどのようにして配布・適用するかを決定する配布ポリシーについてをご紹介いたします。
突然ですが読者の皆様、パッチの適用について以下のようなお悩みを持っていませんか?

① パッチをいつ適用すればよいか決まっていない、またはわからない…。
② パッチ適用後、勝手に再起動されてしまって困る…。
③ 端末ごとにパッチを適用する必要があり、時間が大幅にかかる

 Desktop Centralの配布ポリシーを用いると、パッチ適用に関する上記のようなお悩みをすべて解消することが可能です。

① パッチ配布の実施時期を細かく定めることが可能
以下のスクリーンショットはDesktop Centralの配布ポリシーの作成画面の一部です。こちらでパッチをいつ配布を実施するのか?(週、曜日、配布実施時間)を細かく定めることが可能です。
以下の例の場合、第3週の月曜日18:00~24:00の間にパッチが配布されます。

② パッチ配布後の動作(再起動/シャットダウン)を設定可能
以下のスクリーンショットもDesktop Centralの配布ポリシーの作成画面の一部ですが、こちらで再起動/シャットダウンの強制や、逆に再起動を一切させないなど、パッチ配布後の動作の制御が可能です。

また再起動/シャットダウン無しに設定していた場合、再起動が必須なパッチが配布された場合においても、端末の再起動はされません。そのためパッチ適用後に勝手に端末が再起動されるということを防ぐことができます。

③ 対応したOSであれば、複数の端末に対して簡単かつ効率的にパッチ適用が可能
以下の要件を満たす端末であれば、簡単にパッチ適用が可能です
・Desktop Centralエージェントをインストールする
・パッチ管理機能に対応していること

現在Windows、Mac、Linux(Ubuntu, Debianのみ)に対応しているDesktop Centralですが、近い将来、Red hat Enterprise LinuxCentOSのパッチ管理機能のサポートを開始予定ですので、是非お楽しみにお待ちください。

以上です。本日は2018年9月度のMicrosoftセキュリティ更新プログラムの概要と、Desktop Centralの配布ポリシーについてをご紹介いたしました。

Desktop Centralという製品について、少しでもご興味を持っていただけましたら、「30日間の無料トライアル(評価版)」を是非お試しください。評価期間中は、無償で弊社の技術サポートを受けられます。
<<Desktop Centralのダウンロードページ>>
https://www.manageengine.jp/products/Desktop_Central/download.html

また10月度についてもMicrosoftのセキュリティ更新プログラムが公開されるはずですので、ブログを投稿したいと思います。
それではSee you next month!

【参照先URL】
Microsoft社
2018 年 9月のセキュリティ更新プログラム
https://portal.msrc.microsoft.com/ja-jp/security-guidance/releasenotedetail/498f2484-a096-e811-a978-000d3a33c573

Microsoft社
2018 年 9 月のセキュリティ更新プログラム (月例)
https://blogs.technet.microsoft.com/jpsecurity/2018/09/12/201809-security-updates/

一般社団法人 JPCERT コーディネーションセンター (JPCERT/CC)
2018年 9月マイクロソフトセキュリティ更新プログラムに関する注意喚起
https://www.jpcert.or.jp/at/2018/at180038.html

IPA 情報処理推進機構
Microsoft 製品の脆弱性対策について(2018年9月)
https://www.ipa.go.jp/security/ciadr/vul/20180912-ms.html