Microsoft、2022年4月の月例更新 - ゼロディ脆弱性などを解消

マイクロソフトは、2022年4月12日（日本時間）、2022年4月のセキュリティ更新プログラム（月例パッチ）を公開した。該当するソフトウェアは以下の通り。

.NET Framework
Active Directory Domain Services
Azure SDK
Azure Site Recovery
LDAP – ライトウェイトディレクトリアクセスプロトコル
Microsoft Bluetoothドライバー
Microsoft Dynamics
Microsoft Edge（Chromiumベース）
Microsoft Graphicsコンポーネント
Microsoft Local Security Authority Server（lsasrv）
Microsoft Office Excel
Microsoft Office SharePoint
Microsoft Windows ALPC
Microsoft Windows Codecs Library
Microsoft Windows Media Foundation
Power BI
ロール：DNSサーバー
ロール：Windows Hyper-V
Skype for Business
Visual Studio
Visual Studio Code
Windows Ancillary Function Driver for WinSock
Windows App Store
Windows AppXパッケージマネージャー
Windows Cluster Client Failover
Windowsクラスター共有ボリューム（CSV）
Windows共通ログファイルシステムドライバー
Windows Defender
Microsoft DWM Coreライブラリ
Windows Endpoint Configuration Manager
Windows Fax Compose Form
Windows Feedback Hub
Windowsエクスプローラー
Windows File Server
Windowsインストーラー
Windows iSCSI Target Service
Windows Kerberos
Windowsカーネル
Windows Local Security Authority Subsystem Service
Windows Media
Windowsネットワークファイルシステム
Windows PowerShell
Windows印刷スプーラーコンポーネント
Windows RDP
Windowsリモートプロシージャコールランタイム
Windows schannel
Windows SMB
Windows Telephony Server
Windows Upgrade Assistant
Windows User Profile Service
Windows Win32K
Windows Work Folder Service
YARP reverse proxy

図 2022年4月のセキュリティ更新プログラム（月例パッチ）が公開された

マイクロソフトでは、セキュリティ更新プログラム、セキュリティアドバイザリに関する注意点として、以下をあげる。

CVE-2022-24521 Windows Common Log File System Driverにおける特権昇格の脆弱性は、すでに、脆弱性の悪用が行われていることを確認している。なお、この脆弱性詳細の一般への公開は、セキュリティ更新プログラムの公開時点では確認されていない。ユーザーにおいては、早急に、更新プログラムの適用を行ってほしい。詳細は、CVE-2022-24521を参照してほしい。
今月のセキュリティ更新プログラムで修正した脆弱性のうち、CVE-2022-26904（Windows User Profile Service）は、セキュリティ更新プログラムの公開よりも前に、脆弱性の情報が一般に公開されていたことを確認している。なお、この脆弱性の悪用は、セキュリティ更新プログラムの公開時点では確認されていない。
今月のセキュリティ更新プログラムで修正した脆弱性のうち、CVE-2022-24491（Microsoftネットワークファイルシステム）、CVE-2022-24497（Microsoftネットワークファイルシステム）およびCVE-2022-26809（リモートプロシージャコールランタイム）は、CVSS基本値が9.8と高いスコアで、認証やユーザーの操作なしで悪用が可能な脆弱性である。これらの脆弱性が存在する製品、および悪用が可能となる条件については、各CVEのページの「よく寄せられる質問」を参照してほしい。セキュリティ更新プログラムが公開されるよりも前に、脆弱性の情報の一般への公開、脆弱性の悪用はないが、脆弱性の特性を鑑み、企業組織では早急なリスク評価とセキュリティ更新プログラムの適用を推奨している。
2022年4月のセキュリティ更新プログラムを展開する際のガイダンスは、2022年4月のセキュリティ更新プログラムの展開に関するサポート技術情報も併せて参照してほしい。
セキュリティ更新プログラムにおける既知の問題は、各セキュリティ更新プログラムのサポート技術情報を参照してほしい。既知の問題が確認されている各セキュリティ更新プログラムのサポート技術情報一覧は、2022年4月セキュリティ更新プログラムリリースノートに掲載されている。

新たに確認した脆弱性に対応した新しいセキュリティ更新プログラムは、以下の通り。

Windows 11

緊急（リモートでコードが実行される）

KB5012592

Windows 11の更新プログラムであるKB5012592。

（累積更新プログラム）の構成内容であるが、

Windowsオペレーティングシステムのセキュリティ更新

となっている。このセキュリティ更新プログラムでは、以下の問題にも対応が行われた。

この更新プログラムには、内部 OS 機能に対するその他のセキュリティ強化が含まれている。このリリースについて追加の問題は記録されていない。

Windows 10 v21H2、v21H1、v20H2、v1909

緊急（リモートでコードが実行される）

Windows 10 21H2、21H1、20H2：KB5012653
Windows 10 1909：KB5012591

Windows Server 2022（Server Core installationを含む）

緊急（リモートでコードが実行される）

KB5012604

Windows Server 2019、2016、v20 H2（Server Core installationを含む）

緊急（リモートでコードが実行される）

Windows Server 2019：KB5012647
Windows Server 2016：KB5012596

Windows 8.1、Windows Server 2012 R2、Windows Server 2012（Server Core installationを含む）

緊急（リモートでコードが実行される）

Windows 8.1、Windows Server 2012 R2マンスリーロールアップ：KB5012670
Windows 8.1、Windows Server 2012 R2セキュリティのみ：KB5012639
Windows Server 2012マンスリーロールアップ：KB5012650
Windows Server 2012セキュリティのみ：KB5012666