4つのゼロ

Greg Lambert 著、Computerworld 寄稿者 |

Greg Lambert は、毎月のパッチ火曜日サイクルで既存のアプリケーションと環境に対するリスクを評価します。

今月の Patch Tuesday アップデートで、Microsoft は 130 件のセキュリティ脆弱性に対処し、2 つのアドバイザリを公開し、4 つの主要な CVE リビジョンを含めました。 また、Windows については 4 つのゼロデイ (CVE-2023-32046、CVE-2023-32049、CVE-2023-36874、および CVE-2023-36884) を管理する必要があり、Windows プラットフォームを「今すぐパッチ適用」スケジュールに組み込んでいます。

今月は Adob​​e、Exchange、またはブラウザーの更新がないため、Microsoft Office と Windows のテストに集中しやすくなります。 Microsoft の Storm 0978 は、Microsoft Office の深刻な HTML 脆弱性 (CVE-2022-38023) の管理に関する具体的で実用的なガイダンスを提供しているため、必ず注意深く確認してください。

Readiness チームは、各アップデートに関連するリスクの概要を説明するために、この役立つインフォグラフィックを作成しました。

Microsoft は毎月、最新の更新サイクルに含まれるオペレーティング システムとプラットフォームに関連する既知の問題をリストします。

Microsoft は 2 つの主要な改訂版を公開しました。

Microsoft は、このリリースに対して次の脆弱性関連の緩和策を公開しました。

準備チームは毎月、最新のアップデートに関する詳細で実用的なテスト ガイダンスを提供します。 このガイダンスは、大規模なアプリケーション ポートフォリオの評価と、Microsoft パッチの詳細な分析、および Windows プラットフォームとアプリケーションのインストールに対する潜在的な影響に基づいています。

内部 Web サーバーまたはアプリケーション サーバーを使用している場合は、特に Microsoft Edge を使用して HTTP3 プロトコルをテストする価値があります。 このプロトコル処理の更新に加えて、Microsoft は次のテストを必要とするネットワーク スタックに多数の変更と更新を加えました。

今月はシステム レベルの変更が多数あるため、テスト シナリオを標準プロファイルと高リスク プロファイルに分割しました。

このアップデートには 4 つ (5 つとも言われる) のゼロデイ欠陥に対する修正が含まれているため、今月は 2 つの主な変化要因があります。それは、コア システムの主要な機能の変更と、アップデートを緊急に提供する必要性です。 Microsoft は、印刷とローカル ネットワーク スタック (ルーティングに重点を置く) を含む 2 つのコア領域が更新され、機能が大幅に変更されたことを文書化しました。 そのため、一般的な展開の前に次のテストを含める必要があります。

今月は次の変更が含まれていますが、高リスク (予期せぬ結果を伴う) として挙げられておらず、機能上の変更も含まれていません。

これらすべてのテスト シナリオでは、一般的な展開の前に重要なアプリケーション レベルのテストが必要になります。 今月のパッチに含まれる変更を考慮して、準備チームは、一般的な展開の前に次のテストを実行することをお勧めします。

今月は、OLE の変更と Microsoft による CVE-2023-36884 への対処方法のため、Microsoft Office オートメーション/スクリプトとサードパーティ アプリケーションとの統合をテストするのが少し難しいかもしれません。 Excel マクロ (OLE/COM/DCOM を使用している場合) および Word を含む VBS スクリプトの完全なテストをお勧めします。

ここでは、Windows デスクトップおよびサーバー プラットフォームのサービス (およびほとんどのセキュリティ更新プログラム) に対する重要な変更点を示します。

毎月、更新サイクルを次の基本グループに分けて製品ファミリー (Microsoft の定義に従って) に分類します。

信じられないかもしれませんが、この更新サイクルではブラウザーの更新はありません。 また、サイクル半ばのリリースに向けたパイプラインも何も予定されていません。 これは大きな変更であり、大規模で複雑かつ緊急のブラウザ更新が行われていた時代からの大幅な改善です。 マイクロソフトに行こう！

Microsoft は、Windows プラットフォームにとって重要であると評価された 8 つの重要な更新プログラムと 95 のパッチをリリースし、次の主要コンポーネントをカバーしました。