Microsoft .NET Framework の情報漏えいの脆弱性（CVE-2024-29059）

何が起きた

Microsoft .NET Framework に、情報が漏れる弱点が見つかりました。Microsoft の説明では、悪用されると ObjRef URI（内部でやりとりする対象を指すアドレス）が攻撃者に知られ、リモートでのコード実行につながるおそれがあります。NVD に登録された Microsoft の評価では、攻撃者はネットワーク経由で、ログインも利用者の操作もなしに悪用できるとされています。Microsoft のページでは悪用は「なし」と表示されていますが、CISA は実際の悪用を確認して一覧に載せています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Microsoft .NET Framework 2.0 Service Pack 2 から 4.8.1 までの各バージョンを使う Windows の機器が対象です。影響を受ける組み合わせと、当てる更新プログラムは Windows のバージョンごとに分かれています。

何をすればいい

Microsoft は 2024年3月22日にこの脆弱性の更新プログラムを公開しています。Windows Update などで .NET Framework の更新を当ててください。どの更新プログラムが必要かは、Microsoft のセキュリティ更新ガイドで、お使いの Windows と .NET Framework の組み合わせごとに確認してください。

やることチェックリスト

• Windows Update で .NET Framework を更新する
• 更新ガイドで必要な更新プログラムを確認する
• 更新後に機器を再起動する

用語メモ

.NET Framework

Windows で多くのアプリを動かすための土台となる、Microsoft のソフトウェアです。

リモートでのコード実行

離れた場所から、攻撃者が選んだプログラムを相手の機器で動かすことです。