【Windows Update】Microsoft、2023年5月のセキュリティ更新プログラムを公開！

Microsoftは2023年5月10日(日本時間)、2023年5月の月例Windows UpdateとしてWindowsをはじめとしたセキュリティ更新プログラムを公開しました。セキュリティ脆弱性などの更新が含まれているので、Windows PCをお使いのユーザーは、なるべく早くアップデートを行いましょう。

今月のセキュリティ更新プログラムでは、Windowsのセキュリティ更新やバグ修正に関する計10件（緊急6件、重要4件）の新規セキュリティ情報を公開しています。

また、新規セキュリティ更新プログラムを公開すると共に、既存の脆弱性更新情報 14 件の公開を行いました。
なお、今月の「悪意のあるソフトウェアの削除ツール」では、このツールで削除できる悪意のあるソフトウェアが追加されています。詳細は、対象のマルウェアファミリを参照してください。

Windowsユーザーはできるだけ早く、2023年5月の公開セキュリティ更新プログラムを適用することが推奨されます。

セキュリティ更新プログラム、セキュリティアドバイザリに関する主な注意点

今月のセキュリティ更新プログラムで修正した脆弱性のうち、以下の脆弱性は更新プログラムが公開されるよりも前に悪用や脆弱性の詳細が一般へ公開されていることを確認しています。お客様においては、更新プログラムの適用を早急に行ってください。脆弱性の詳細は、各 CVE のページを参照してください。
- 悪用を確認： CVE-2023-29336 Win32k の特権の昇格の脆弱性
- 公開を確認： CVE-2023-29325 Windows OLE のリモートでコードが実行される脆弱性
- 悪用および公開を確認： CVE-2023-24932 セキュアブートのセキュリティ機能のバイパスの脆弱性
今月のセキュリティ更新プログラムで修正した脆弱性のうち、CVE-2023-24932 セキュアブートのセキュリティ機能のバイパスの脆弱性は、脆弱性からシステムを保護するために、更新プログラムの適用に加え、追加の手順を実行する必要があります。詳細については、CVE-2023-24932 および Guidance related to Secure Boot Manager changes associated with CVE-2023-24932 をご参照ください。
今月のセキュリティ更新プログラムで修正した脆弱性のうち、CVE-2023-24881 Microsoft Teams の情報漏えいの脆弱性は、脆弱性からシステムを保護するために、Teams のバージョンアップに加え、追加の手順を実行する必要があります。詳細については、CVE-2023-24881 をご参照ください。
今月のセキュリティ更新プログラムで修正した脆弱性のうち、CVE-2023-24943 Windows Pragmatic General Multicast (PGM) のリモートでコードが実行される脆弱性および CVE-2023-24941 Microsoft ネットワークファイルシステムのリモートでコードが実行される脆弱性は、CVSS 基本値が 9.8 と高いスコアで、認証やユーザーの操作なしで悪用が可能な脆弱性です。これらの脆弱性が存在する製品、および悪用が可能となる条件については、各 CVE のページの「よく寄せられる質問」を参照してください。セキュリティ更新プログラムが公開されるよりも前に、脆弱性の情報の一般への公開、脆弱性の悪用はありませんが、脆弱性の特性を鑑み、企業組織では早急なリスク評価とセキュリティ更新プログラムの適用を推奨しています。
今月のセキュリティ更新プログラムで修正した脆弱性のうち、CVE-2023-29324 Windows MSHTML Platform のセキュリティ機能のバイパスの脆弱性について、ブログ Microsoft Mitigates Outlook Elevation of Privilege Vulnerability が更新されています。Windows 用 Microsoft Outlook をご利用のお客様は、ブログの内容をご確認ください。
セキュリティ更新プログラムにおける既知の問題は、各セキュリティ更新プログラムのサポート技術情報を参照してください。既知の問題が確認されている各セキュリティ更新プログラムのサポート技術情報一覧は、2023 年 5 月セキュリティ更新プログラムリリースノートに掲載されています。
[リマインダー] 2023 年 6 月以降に予定されている Windows のセキュリティ強化について
すでにアナウンスが行われている通り、脆弱性からシステムを保護するため、2023 年 6 月以降の Windows 用更新プログラムでは、セキュリティ強化の設定が段階的に有効化される予定です。予定されている変更内容とスケジュールについては、 Latest Windows hardening guidance and key dates をご参照ください。

2023年5月のセキュリティ更新プログラムを公開した製品、コンポーネント一覧

Microsoftが2023年5月10日(日本時間)にセキュリティ更新プログラムを公開した製品およびコンポーネントの一覧が公開されています。最新の情報は、2023 年 5 月セキュリティ更新プログラムリリースノートをご確認ください。

2023年5月のセキュリティ更新プログラム一覧

Microsoftが2023年5月10日(日本時間)に公開したセキュリティ更新プログラムは次の通りです。
最新の情報は、セキュリティ更新プログラムガイドを確認してください。

最大深刻度「緊急」のセキュリティ更新情報

製品ファミリ：Windows 11 v21H2および v22H2

■最も大きな影響
リモートでコードの実行が可能
■関連するサポート技術情報またはサポートのWebページ
V22 H2 5026372
V21 H2 5026368

製品ファミリ：Windows 10 v22H2,v21H2,およびv20H2

■最も大きな影響
リモートでコードの実行が可能
■関連するサポート技術情報またはサポートのWebページ
5026361

製品ファミリ：Windows Server 2022 (Server Core installationを含む)

■最も大きな影響
リモートでコードの実行が可能
■関連するサポート技術情報またはサポートのWebページ
5026370
Hotpatch 5026456

製品ファミリ：Windows Server 2019 , 2016 (Server Core installation を含む)

■最も大きな影響
リモートでコードの実行が可能
■関連するサポート技術情報またはサポートのWebページ
Windows Server 2019 5026362
Windows Server 2016 5026363

製品ファミリ：Windows Server 2012 R2, Windows Server 2012 (Server Core installation を含む)

■最も大きな影響
リモートでコードの実行が可能
■関連するサポート技術情報またはサポートのWebページ
Windows Server 2012 R2
Monthly Rollup 5026415
Security Only 5026409
Windows Server 2012
Monthly Rollup 5026419
Security Only 5026411

製品ファミリ：Microsoft SharePoint

■最も大きな影響
リモートでコードの実行が可能
■関連するサポート技術情報またはサポートのWebページ
https://learn.microsoft.com/officeupdates/sharepoint-updates

最大深刻度「重要」のセキュリティ更新情報

製品ファミリ：Microsoft Office

■最も大きな影響
リモートでコードの実行が可能
■関連するサポート技術情報またはサポートのWebページ
https://learn.microsoft.com/officeupdates

製品ファミリ：Microsoft Visual Studio

■最も大きな影響
情報漏えい
■関連するサポート技術情報またはサポートのWebページ
https://learn.microsoft.com/visualstudio

製品ファミリ：Windows Sysmon

■最も大きな影響
特権の昇格
■関連するサポート技術情報またはサポートのWebページ
https://learn.microsoft.com/sysinternals

製品ファミリ：Microsoft Remote Desktop

■最も大きな影響
情報漏えい
■関連するサポート技術情報またはサポートのWebページ
https://learn.microsoft.com/azure/virtual-desktop/whats-new-client-windows

既存の脆弱性情報の更新

Microsoftが2023年5月10日(日本時間)に公開した、既存の脆弱性14件の更新情報は次の通りです。

CVE	変更内容
CVE-2021-28452 Microsoft Outlook のメモリ破損の脆弱性	「セキュリティ更新プログラム」一覧の資料のリンクを修正しました。これは情報のみの変更です。
CVE-2013-3900 WinVerifyTrust 署名の検証に関する脆弱性	このセキュリティ情報ページの「概要」において、Windows 10 および Windows 11 に関する情報を修正しました。このレジストリキーのサポートコードが Windows 10 および Windows 11 のリリース時に組み込まれたため、セキュリティ更新プログラムの適用は必要ないことを記載しました。ただし、レジストリキーを設定する必要があります。これは情報のみの変更です。
CVE-2022-29900 AMD: CVE-2022-29900 MD CPU Branch Type Confusion	このドキュメントは、元々 CVE-2022-23816 に関連していました。この CVE は、同じ脆弱性に関連する別の CVE のために、CNA によって公式に割り当てが拒否されました。このため、このドキュメントを更新し、CVE-2022-29900 を参照するようにしました。これは、情報提供のみの変更です。
CVE-2022-26928 Windows フォトのインポート API の特権の昇格の脆弱性	CVE-2022-26928 に包括的に対処するために、マイクロソフトは、影響を受けるすべてのバージョンの Microsoft Windows 用に 2023 年 5 月のセキュリティ更新プログラムをリリースしました。この脆弱性から完全に保護するために、この更新プログラムをインストールすることを強くお勧めします。システムが自動更新を受信するように構成されているお客様は、特別な措置を講じる必要はありません。
CVE-2022-41104 Microsoft Excel のセキュリティ機能のバイパスの脆弱性	影響を受ける製品の CVSS スコアを 1 つ以上更新しました。これは情報のみの変更です。
CVE-2023-21738 Microsoft Office Visio のリモートでコードが実行される脆弱性	影響を受ける製品の CVSS スコアを 1 つ以上更新しました。これは情報のみの変更です。
CVE-2023-21779 Visual Studio Code のリモートでコードが実行される脆弱性	影響を受ける製品の CVSS スコアを 1 つ以上更新しました。これは情報のみの変更です。
CVE-2023-23383 Service Fabric Explorer のなりすましの脆弱性	FAQ 情報を追加しました。今回の更新は情報のみの変更です。
CVE-2023-23396 Microsoft Excel のサービス拒否の脆弱性	FAQ 情報を追加しました。今回の更新は情報のみの変更です。
CVE-2023-23398 Microsoft Excel のなりすましの脆弱性	FAQ 情報を更新しました。これは、情報のみの変更です。
CVE-2023-24858 Microsoft PostScript および PCL6 クラスプリンタードライバーの情報漏えいの脆弱性	影響を受ける製品の CVSS スコアを 1 つ以上更新しました。これは情報のみの変更です。
CVE-2023-24911 Microsoft PostScript および PCL6 クラスプリンタードライバーの情報漏えいの脆弱性	影響を受ける製品に関する 1 つ以上の CVSS スコアを更新し、区分の設定を説明する FAQ を追加しました。これは情報のみの変更です。
CVE-2023-24892 Microsoft Edge (Chromium ベース) Webview2 のなりすましの脆弱性	影響を受ける製品に関する 1 つ以上の CVSS スコアを更新し、区分の設定を説明する FAQ を追加しました。これは情報のみの変更です。
CVE-2022-41121 Windows Graphics コンポーネントの特権の昇格の脆弱性	Remote Desktop client for Windows Desktop は、この脆弱性の影響を受けないため、セキュリティ更新プログラムの表より削除しました。これは、情報提供のみの変更です。

新規のセキュリティアドバイザリの公開

Microsoftが2023年5月10日(日本時間)に公開した、新規のセキュリティアドバイザリの公開情報はありませんでした。

既存のセキュリティアドバイザリの更新

Microsoftが2023年5月10日(日本時間)に公開した、既存のセキュリティアドバイザリの更新情報はありませんでした。

その他情報

最新のサービススタック更新プログラム (SSU) は、アドバイザリ ADV990001 を確認してください。
Microsoft Edge (Chromium-based) のセキュリティ情報は、公開のスケジュールが月例のリリースとは異なりますので、セキュリティ更新プログラムガイド上で製品にて Microsoft Edge (Chromium-based) を選択し、確認してください。または、Edge のセキュリティリリース情報にてご確認ください。
各脆弱性情報 (CVE) のページには、緩和策、回避策、注意事項やよく寄せられる質問など、追加の情報が掲載されている場合があります。セキュリティ更新プログラムの適用の前に、併せてご確認ください。
最新の情報は、セキュリティ更新プログラムガイドを確認してください。セキュリティ更新プログラムガイドでは、セキュリティの脆弱性および更新プログラムの情報を、CVE、KB 番号、製品、またはリリース日別に並べ替えたりフィルターをかけたりすることができます。各月のセキュリティ更新プログラムを絞り込むには、日付範囲に絞り込む月の第 2 火曜日を指定して検索してください。なお、セキュリティ更新プログラムガイド API を活用して、自社に特化したカスタムレポートを作成することができます。API の活用方法を紹介する 6 つのビデオ (API の情報 (GitHub)、API へのアクセス、HTML ファイルの出力、Excel へのエクスポート、CVE リストの取得、KB リストの取得) を公開していますので、是非ご活用ください。
セキュリティ更新プログラムガイドに更新があった場合、通知を受け取ることができます。詳しくは、ブログセキュリティ更新プログラムの通知・配信の改善 – 新しい配信方法についてを参照ください。

次回、2023年6月のWindows Update、セキュリティ更新プログラムのリリースは、6月14日(日本時間)の予定となっています。また、2023年のセキュリティ更新プログラムのリリーススケジュールも公開されました。2023年の年間スケジュールについてはこちらを参照ください。

Source:Microsoft