Reading Time: 2 minutes
皆さま、こんにちは。
ManageEngine Desktop Centralの製品担当のUematsuです。
本日も2018年10月度のMicrosoftセキュリティ更新プログラムの概要と、ManageEngine Desktop Centralについてご紹介いたします。
【概要】
2018年10月10日(日本時間)、Microsoftは以下のソフトウェアに関するセキュリティ更新プログラムを公開しました。
・Internet Explorer
・Microsoft Edge
・Microsoft Windows
・Microsoft Office, Micrsoft Office ServersおよびWeb Apps
・ChakraCore
・.NET Core
・SQL Server Management Studio
・Microsoft Exchange Server
今回のセキュリティ更新プログラムでは49件の脆弱性が修正されていますが、脆弱性の深刻度が「緊急」に指定されているものは12件ございます。
脆弱性の概要については以下の表をご覧ください。
| 脆弱性の概要 | KB番号 | 深刻度 | 概要 | 影響を受ける製品 | 参考URL |
| CVE-2018-8453 | KB4462915 KB4462917 KB4462918 KB4462919 KB4462922 KB4462923 KB4462926 KB4462929 KB4462931 KB4462937 KB4462941 KB4463097 KB4463104 KB4464330 |
重要 | Win32k の特権の昇格の脆弱性 | Windows 7以降 Windows Server 2008以降 |
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2018-8453 |
| CVE-2018-8460 | KB4462917 KB4462918 KB4462919 KB4462922 KB4462923 KB4462926 | 警告 緊急 |
Internet Explorer のメモリ破損の脆弱性 | Internet Explorer 11 | https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2018-8460 |
| CVE-2018-8473 | KB4464330 | 緊急 | Microsoft Edge のメモリ破損の脆弱性 | ChakraCore Microsoft Edge |
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2018-8473 |
| CVE-2018-8489 | KB4462915 KB4462917 KB4462918 KB4462919 KB4462922 KB4462923 KB4462926 KB4462929 KB4462931 KB4462937 KB4462941 KB4463097 KB4463104 KB4464330 |
緊急 | Windows Hyper-V のリモートでコードが実行される脆弱性 | Windows 7以降 Windows Server 2008以降 |
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2018-8489 |
| CVE-2018-8490 | KB4462917 KB4462918 KB4462922 KB4462937 KB4464330 | 緊急 | Windows Hyper-V のリモートでコードが実行される脆弱性 | Windows 10以降 Windows Server 2016以降 |
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2018-8490 |
| CVE-2018-8491 | KB4462917 KB4462918 KB4462919 KB4462922 KB4462923 KB4462926 KB4462937 KB4462949 KB4464330 |
緊急 | Internet Explorer のメモリ破損の脆弱性 | Internet Explorer 11 | https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2018-8491 |
| CVE-2018-8494 | KB4462915 KB4462917 KB4462918 KB4462919 KB4462922 KB4462923 KB4462926 KB4462929 KB4462931 KB4462937 KB4462941 KB4463097 KB4463104 KB4464330 |
緊急 | MS XML のリモートでコードが実行される脆弱性 | Windows 7以降 Windows Server 2008以降 |
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2018-8494 |
| CVE-2018-8505 | KB4462917 KB4462918 KB4462919 KB4462937 KB4464330 | 緊急 | Chakra スクリプト エンジンのメモリ破損の脆弱性 | Windows 10以降 Windows Server 2016以降 |
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2018-8505 |
| CVE-2018-8509 | KB4462918 KB4462919 | 緊急 | Microsoft Edge のメモリ破損の脆弱性 | Microsoft Edge | https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2018-8509 |
| CVE-2018-8510 | KB4464330 | 緊急 | Chakra スクリプト エンジンのメモリ破損の脆弱性 | ChakraCore Microsoft Edge |
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2018-8447 |
| CVE-2018-8511 | KB4464330 | 緊急 | Chakra スクリプト エンジンのメモリ破損の脆弱性 | ChakraCore Microsoft Edge |
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2018-8511 |
| CVE-2018-8513 | KB4464330 | 緊急 | スクリプト エンジンのメモリ破損の脆弱性 | ChakraCore Microsoft Edge |
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2018-8513 |
これらの脆弱性が悪用された場合、アプリケーションの異常終了や任意のコードが実行されるなどの被害が発生する可能性があります。
特にCVE-2018-8453の脆弱性について、Microsoft社は脆弱性悪用の事実を確認済みと公表しているため、被害が拡大する可能性があります。
前回のブログでは、パッチを配布する期間や、パッチ配布後の動作(再起動/シャットダウン)を定めることができる、配布ポリシーについてご紹介いたしました。上記の脆弱性への対策としてはMicrosoftが提供しているセキュリティ更新プログラムを適用する必要があります。
今回のブログではDesktop Centralのパッチテストについてご紹介いたします。
さて読者の皆さまは、パッチ適用前にパッチテストを必ず行っていますか?
ベンダーによって提供される脆弱性修正パッチを適用後、不具合がしばしば発生します。特に業務システムが搭載されているマシンへのパッチ適用は、慎重に行うべきです。
最近も2018年10月2日から10月6日の間に配信されていた「Windows 10 October 2018 Update」を適用後、ファイルが消失するという問題がありました。
このような問題が実環境で発生することを未然に防ぐべく、パッチテストは情報システム部門にとって非常に重要なタスクの1つであると言えます。
Desktop Centralのパッチテストでは、作成したパッチテスト用のテストグループに対して、パッチを適用し、パッチが正常に適用されたら、そのパッチを指定した日数の後に「承認」するという仕組みです。(下図参照)
※パッチ承認後、承認済パッチがパッチ自動配布タスクによって自動的に配布されます。パッチ自動配布タスクの作成方法(パッチ配布を自動化する方法)については次回のブログにて記載いたします。
パッチテストに関する設定は以下のたった2ステップで完了します。
①パッチテストを行うグループ、テストを行うパッチの種類、配布ポリシーを選択
選択した種類のパッチは適用後、次の②で指定した日数後に自動で承認されます。
管理コンソールでパッチを手動承認も可能であるため、特定のアプリケーションのパッチは、自動承認にせず、手動で承認する運用ができます。
② 通知先、承認までの日数を指定
承認までの猶予期間があることによって、適用したパッチに何か問題があった際、他の端末に自動適用される前に、原因究明や対策をとることができます。
Desktop Centralでは、今回ご紹介したパッチテスト以外にも、パッチの拒否やパッチのアンインストール(ただしベンダーが該当パッチのアンインストールをサポートしている場合のみ)など様々な機能がございます。こちらについては今後の記事にて随時紹介予定です。
以上です。本日は2018年10月度のMicrosoftセキュリティ更新プログラムの概要と、Desktop Centralのパッチテストについてをご紹介いたしました。
Desktop Centralについて、少しでもご興味を持っていただけましたら、「30日間の無料トライアル（評価版）」を是非お試しください。評価期間中は、無償で弊社の技術サポートを受けられます。
<<Desktop Centralのダウンロードページ>>
https://www.manageengine.jp/products/Desktop_Central/download.html
また次回は11月14日にMicrosoftのセキュリティ更新プログラムがリリースされる予定ですので、その際にブログを投稿いたします。
それではSee you next month!
【参照先URL】
Microsoft社
2018 年 10月のセキュリティ更新プログラム
https://portal.msrc.microsoft.com/ja-jp/security-guidance/releasenotedetail/aa99ba28-e99f-e811-a978-000d3a33c573
Microsoft社
2018 年 10月のセキュリティ更新プログラム (月例)
https://blogs.technet.microsoft.com/jpsecurity/2018/10/10/201810-security-updates/
一般社団法人 JPCERT コーディネーションセンター (JPCERT/CC)
2018年 10月マイクロソフトセキュリティ更新プログラムに関する注意喚起
https://www.jpcert.or.jp/at/2018/at180041.html
IPA 情報処理推進機構
Microsoft 製品の脆弱性対策について(2018年10月)
https://www.ipa.go.jp/security/ciadr/vul/20181010-ms.html
フィードバックフォーム
当サイトで検証してほしいこと、記事にしてほしい題材などありましたら、以下のフィードバックフォームよりお気軽にお知らせください。