【Windows Update】Microsoft、2023年3月のセキュリティ更新プログラムを公開！

Microsoftは2023年3月15日(日本時間)、2023年3月の月例Windows UpdateとしてWindowsをはじめとしたセキュリティ更新プログラムを公開しました。セキュリティ脆弱性などの更新が含まれているので、Windows PCをお使いのユーザーは、なるべく早くアップデートを行いましょう。

今月のセキュリティ更新プログラムでは、Windowsのセキュリティ更新やバグ修正に関する計12件（緊急6件、重要6件）の新規セキュリティ情報を公開しています。

また、新規セキュリティ更新プログラムを公開すると共に、既存の脆弱性情報 5 件の更新と、既存のセキュリティアドバイザリの更新情報 1 件の公開を行いました。
なお、今月の悪意のあるソフトウェアの削除ツールでは、このツールで削除できる悪意のあるソフトウェアが追加されています。詳細は、対象のマルウェアファミリを参照してください。

Windowsユーザーはできるだけ早く、2023年3月の公開セキュリティ更新プログラムを適用することが推奨されます。

2023年3月のセキュリティ更新プログラムを公開した製品、コンポーネント一覧

Microsoftが2023年3月15日(日本時間)にセキュリティ更新プログラムを公開した製品およびコンポーネントの一覧が公開されています。最新の情報は、2023 年 3 月セキュリティ更新プログラムリリースノートをご確認ください。

Azure
Client Server Run-time Subsystem (CSRSS)
インターネット制御メッセージプロトコル (ICMP)
Microsoft Bluetooth ドライバー
Microsoft Dynamics
Microsoft Edge (Chromium ベース)
Microsoft Graphics コンポーネント
Microsoft Office Excel
Microsoft Office Outlook
Microsoft Office SharePoint
Microsoft OneDrive
Microsoft PostScript プリンタードライバー
Microsoft プリンタードライバー
Microsoft Windows Codecs Library
Office for Android
リモートアクセスサービス Point-to-Point トンネリングプロトコル
ロール: DNS サーバー
ロール: Windows Hyper-V
Service Fabric
Visual Studio
Windows アカウント制御
Windows Bluetooth サービス
Windows Central Resource Manager
Windows Cryptographic サービス
Windows Defender
Windows HTTP プロトコルスタック
Windows HTTP.sys
Windows インターネットキー交換 (IKE) プロトコル
Windows カーネル
Windows Partition Management Driver
Windows Point-to-Point Protocol over Ethernet (PPPoE)
Windows リモートプロシージャコール
Windows リモートプロシージャコールランタイム
Windows Resilient File System (ReFS)
Windows セキュリティで保護されたチャネル
Windows SmartScreen
Windows TPM
Windows Win32K

セキュリティ更新プログラム、セキュリティアドバイザリに関する主な注意点

今月のセキュリティ更新プログラムで修正した脆弱性のうち、CVE-2023-24880 Windows SmartScreen のセキュリティ機能のバイパスの脆弱性は、セキュリティ更新プログラムの公開よりも前に、脆弱性の情報の一般への公開、脆弱性の悪用を確認しています。お客様においては、更新プログラムの適用を早急に行ってください。詳細は、CVE-2023-24880 を参照してください。
今月のセキュリティ更新プログラムで修正した脆弱性のうち、CVE-2023-23397 Microsoft Outlook の特権昇格の脆弱性は、既に脆弱性の悪用が行われていることを確認しています。なお、セキュリティ更新プログラムの公開時点では、この脆弱性の詳細の一般への公開は確認されていません。お客様においては、更新プログラムの適用を早急に行ってください。詳細は、CVE-2023-23397、および Microsoft Mitigates Outlook Elevation of Privilege Vulnerability を参照してください。
今月のセキュリティ更新プログラムで修正した脆弱性のうち、次の 4 つの脆弱性は、CVSS 基本値が 9.８と高いスコアで、認証やユーザーの操作なしで悪用が可能な脆弱性です。これらの脆弱性が存在する製品、および悪用が可能となる条件については、各 CVE のページの「よく寄せられる質問」を参照してください。セキュリティ更新プログラムが公開されるよりも前の脆弱性情報の一般への公開、脆弱性の悪用は確認していませんが、脆弱性の特性を鑑み、企業組織では早急なリスク評価とセキュリティ更新プログラムの適用を推奨しています。
- CVE-2023-23392 HTTP プロトコルスタックのリモートでコードが実行される脆弱性
- CVE-2023-21708 リモートプロシージャコールランタイムのリモートでコードが実行される脆弱性
- CVE-2023-23415 インターネット制御メッセージプロトコル (ICMP) のリモートでコードが実行される脆弱性
- CVE-2023-23397 Microsoft Outlook の特権昇格の脆弱性
2023 年 2 月 14 日 (米国時間) に公開した Microsoft Exchange Server の更新プログラムを適用した、ごく一部の環境にて Exchange Web サービスに問題が発生することを確認しています。この問題に対処するために、2023 年 3 月 14 日 (米国時間) に、更新プログラムを再リリースしました。2 月の更新プログラムを適用後、問題が発生している場合は、3 月の Exchange Server の更新プログラムをインストールすることをお勧めします。詳細については、CVE-2023-21707 および、Microsoft Exchange チームブログ Released: March 2023 Exchange Server Security Updates も併せてご参照ください。
今月のセキュリティ更新プログラムを適用すると、DCOM サーバーのセキュリティ強化が第 3 フェーズになります。第 3 フェーズでは、強化機能が既定で有効になり、無効にする機能はなくなります。DCOM サーバーの管理者は、更新プログラムを適用するまでに、環境内の機能強化の変更とアプリケーションに関する互換性の問題を解決する必要があります。詳細については、CVE-2021-26414 を参照ください。
セキュリティ更新プログラムにおける既知の問題は、各セキュリティ更新プログラムのサポート技術情報を参照してください。既知の問題が確認されている各セキュリティ更新プログラムのサポート技術情報一覧は、2023 年 3 月セキュリティ更新プログラムリリースノートに掲載されています。

2023年3月のセキュリティ更新プログラム一覧

Microsoftが2023年3月15日(日本時間)に公開したセキュリティ更新プログラムは次の通りです。
最新の情報は、セキュリティ更新プログラムガイドを確認してください。

最大深刻度「緊急」のセキュリティ更新情報

製品ファミリ：Windows 11 v21H2および v22H2

■最も大きな影響
リモートでコードの実行が可能
■関連するサポート技術情報またはサポートのWebページ
“Version 22H2 5023706 , Version 21H2 5023698

製品ファミリ：Windows 10 v22H2,v21H2,およびv20H2

■最も大きな影響
リモートでコードの実行が可能
■関連するサポート技術情報またはサポートのWebページ
5023696

製品ファミリ：Windows Server 2022 (Server Core installationを含む)

■最も大きな影響
リモートでコードの実行が可能
■関連するサポート技術情報またはサポートのWebページ
5023705

製品ファミリ：Windows Server 2019 , 2016 (Server Core installation を含む)

■最も大きな影響
リモートでコードの実行が可能
■関連するサポート技術情報またはサポートのWebページ
Windows Server 2019, 5023702 , Windows Server 2016 5023697

製品ファミリ：Windows Server 2012 R2, Windows Server 2012 (Server Core installation を含む)

■最も大きな影響
リモートでコードの実行が可能
■関連するサポート技術情報またはサポートのWebページ
Windows Server 2012 R2 Monthly Rollup 5023765 Security Only 5023764 ,Windows Server 2012 Monthly Rollup 5023756 Security Only 5023752

製品ファミリ：Microsoft Office

■最も大きな影響
リモートでコードの実行が可能
■関連するサポート技術情報またはサポートのWebページ
https://learn.microsoft.com/officeupdates

最大深刻度「重要」のセキュリティ更新情報

製品ファミリ：Microsoft SharePoint

■最も大きな影響
なりすまし
■関連するサポート技術情報またはサポートのWebページ
https://learn.microsoft.com/officeupdates/sharepoint-updates

製品ファミリ：Microsoft Exchange Server

■最も大きな影響
リモートでコードの実行が可能
■関連するサポート技術情報またはサポートのWebページ
https://learn.microsoft.com/exchange Released: March 2023 Exchange Server Security Updates

製品ファミリ：Microsoft Visual Studio

■最も大きな影響
リモートでコードの実行が可能
■関連するサポート技術情報またはサポートのWebページ
https://learn.microsoft.com/visualstudio

製品ファミリ：Microsoft Dynamics 365

■最も大きな影響
情報漏えい
■関連するサポート技術情報またはサポートのWebページ
https://learn.microsoft.com/dynamics365

製品ファミリ：Microsoft Azure-related software

■最も大きな影響
なりすまし
■関連するサポート技術情報またはサポートのWebページ
https://learn.microsoft.com/azure

製品ファミリ：Microsoft Malware Protection Engine

■最も大きな影響
特権の昇格
■関連するサポート技術情報またはサポートのWebページ
https://learn.microsoft.com/system-center

既存の脆弱性情報の更新

Microsoftが2023年3月15日(日本時間)に公開した、既存の脆弱性5件の更新情報は次の通りです。

CVE-2023-21707 Microsoft Exchange Server のリモートでコードが実行される脆弱性 CVE を更新し、セキュリティ更新プログラムの再リリースをお知らせしました。詳細については、「よく寄せられる質問」セクションを参照してください。
CVE-2022-43552 オープンソース Curl のリモートでコードが実行される脆弱性マイクロソフトは、特定のバージョンの Windows が cURL の脆弱性の影響を受けるという認識に従って、Windows ソフトウェアを追加するために CVE を更新しました。マイクロソフトは、今後のセキュリティリリースでこの問題を解決する新しい cURL オープンソースライブラリを組み込む予定です。
CVE-2022-23257 Windows Hyper-V のリモートでコードが実行される脆弱性「セキュリティ更新プログラム」の一覧に、この脆弱性の影響を受ける Windows 11 Version 22H2 for x64-based Systems を追加しました。この脆弱性から完全に保護するために、2023 年 3 月の更新プログラムをインストールすることを強くお勧めします。システムが自動更新を受信するように構成されているお客様は、特別な措置を講じる必要はありません。
CVE-2022-23816 AMD: CVE-2022-23816 AMD CPU Branch Type Confusion
CVE-2022-23825 AMD: CVE-2022-23825 AMD CPU Branch Type Confusion

この CVE に対して以下を更新しました。

マイクロソフトは、Windows Server 2022 および Windows Server 2022 (Server Core インストール) を除き、サポートされているすべてのバージョンの Windows でこの脆弱性を解決するために、2023 年 3 月のセキュリティ更新プログラムが利用可能になったことをお知らせします。Windows Server 2022 の更新プログラムは 2023 年 2 月 15 日にリリースされました。 2)すべてのバージョンの Windows 7 および Windows 8.1 がサポートされなくなったので、「セキュリティ更新プログラム」一覧から削除しました。

既存のセキュリティアドバイザリの更新

Microsoftが2023年3月15日(日本時間)に公開した、既存のセキュリティアドバイザリ1件の更新情報は次の通りです。

ADV990001 最新のサービススタック更新プログラム: 新しいバージョンのサービススタック更新プログラムが入手可能であることをお知らせするために、アドバイザリが更新されました。

その他情報

最新のサービススタック更新プログラム (SSU) は、アドバイザリ ADV990001 を確認してください。
Microsoft Edge (Chromium-based) のセキュリティ情報は、公開のスケジュールが月例のリリースとは異なりますので、セキュリティ更新プログラムガイド上で製品にて Microsoft Edge (Chromium-based) を選択し、確認してください。または、Edge のセキュリティリリース情報にてご確認ください。
各脆弱性情報 (CVE) のページには、緩和策、回避策、注意事項やよく寄せられる質問など、追加の情報が掲載されている場合があります。セキュリティ更新プログラムの適用の前に、併せてご確認ください。
最新の情報は、セキュリティ更新プログラムガイドを確認してください。セキュリティ更新プログラムガイドでは、セキュリティの脆弱性および更新プログラムの情報を、CVE、KB 番号、製品、またはリリース日別に並べ替えたりフィルターをかけたりすることができます。各月のセキュリティ更新プログラムを絞り込むには、日付範囲に絞り込む月の第 2 火曜日を指定して検索してください。なお、セキュリティ更新プログラムガイド API を活用して、自社に特化したカスタムレポートを作成することができます。API の活用方法を紹介する 6 つのビデオ (API の情報 (GitHub)、API へのアクセス、HTML ファイルの出力、Excel へのエクスポート、CVE リストの取得、KB リストの取得) を公開していますので、是非ご活用ください。
セキュリティ更新プログラムガイドに更新があった場合、通知を受け取ることができます。詳しくは、ブログセキュリティ更新プログラムの通知・配信の改善 – 新しい配信方法についてを参照ください。

次回、2023年4月のWindows Update、セキュリティ更新プログラムのリリースは、4月12日(日本時間)の予定となっています。また、2023年のセキュリティ更新プログラムのリリーススケジュールも公開されました。2023年の年間スケジュールについてはこちらを参照ください。

Source:Microsoft