Microsoft Windows のリモートコード実行の脆弱性（CVE-2021-33742）

何が起きた

Windows でウェブページを表示する部品の MSHTML に、メモリの範囲外に書き込んでしまう弱点が見つかりました。Microsoft によると、悪用されると攻撃者が離れた場所からプログラムを実行できるおそれがあります。NVD の評価では、ネットワーク経由で、権限のない攻撃者でも悪用できますが、利用者の操作が必要です。Microsoft も CISA も、実際の悪用を確認しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Microsoft によると、サポート中のすべての Windows が対象で、Windows 7 SP1、Windows 8.1、Windows RT 8.1、Windows 10 の各版、Windows Server 2008 SP2、2008 R2 SP1、2012、2012 R2、2016、2019 が含まれます。Microsoft によると、MSHTML は Microsoft Edge の Internet Explorer モードや、ほかのアプリからも使われています。

何をすればいい

Windows Update などで、2021年6月以降のセキュリティ更新を当ててください。たとえば Windows 10 Version 2004、20H2、21H1 では KB5003637 が対象の更新です。Microsoft は、Windows 7 や Windows 8.1、Windows Server 2008、2012 などでセキュリティのみの更新を入れている場合は、Internet Explorer の累積更新もあわせて当てるよう勧めています。メーカーの公式の案内も確認してください。

やることチェックリスト

• Windows Update でセキュリティ更新を当てる
• 2021年6月以降の更新が入っているか確かめる
• セキュリティのみの更新なら IE の累積更新も当てる

用語メモ

MSHTML 用語集で見る

Windows に入っている、ウェブページを読み取って表示するための部品です。Internet Explorer などが使っています。

累積更新

それまでに出た修正をまとめて含む更新プログラムです。