Microsoftは8月11日、サポートが継続しているすべてのWindowsに対し月例のセキュリティ更新プログラムをリリースした。Windows UpdateやMicrosoft Update Catalogから入手できる。ユーザーが手動でアップデートをチェックしなくても、Windows Updateなどを介して自動で提供される。
しかし、すでに悪用が確認されている脆弱性や実証コードが明らかにされている脆弱性の修正も含まれるアップデートなので出来るだけ速やかにアップデートを適用することを推奨する。
- アップデートがリリースされた製品
- Windows 10 v2004/20H2/21H1 / Windows Server 2016/2019
- Windows 8.1 / Windows Server 2012/2012 R2
- Microsoft Officeなど
- Windows10 v2004/20H2/21H1にはKB5005033が配信
- 更新のハイライト
- 既知の不具合
- 既知の脆弱性
- KB5005932：Windows10 v2004/20H2/21H1
- 参考・関連リンク
アップデートがリリースされた製品
.NET Core と Visual Studio
ASP .NET
Azure
Azure Sphere
Microsoft Azure Active Directory Connect
Microsoft Dynamics
Microsoft Graphics コンポーネント
Microsoft Office
Microsoft Office SharePoint
Microsoft Office Word
Microsoft Scripting Engine
Microsoft Windows Codecs Library
リモート デスクトップ クライアント
Windows Bluetooth サービス
Windows Cryptographic サービス
Windows Defender
Windows イベント トレーシング
Windows Media
Windows MSHTML プラットフォーム
Windows NTLM
Windows 印刷スプーラー コンポーネント
Windows Services for NFS ONCRPC XDR Driver
Windows Storage Spaces Controller
Windows TCP/IP
Windows Update
Windows Update Assistant
Windows User Profile Service
Windows 10 v2004/20H2/21H1 / Windows Server 2016/2019
2004/20H2/21H1のOSコア部分は共通で、更新プログラムの内容は同一。先月の定例アップデート以降配信されたプレビュー版オプションの更新プログラムの内容を含んでいる。最大深刻度はリモートコード実行の脆弱性の緊急。
リモートコード実行の脆弱性ってなに？ / RCE (Remote Code Execution) - HIKKIE
(HomeやProなど一般のユーザー向け)バージョン1909は2021年5月11日にサポートを打ち切られている。
Windows 10 v2004/20H2/21H1：KB5005033
Windows 10 v1909：KB5005031
Windows Server 2019：KB5005030
Windows Server 2016：KB5005043
Windows 8.1 / Windows Server 2012/2012 R2
セキュリティのみとマンスリー ロールアップの2種類が用意されているが、マンスリー ロールアップの適用が推奨されている。最大深刻度はリモートコード実行の脆弱性の緊急。
Windows 8.1 / Windows Server 2012 R2 マンスリー ロールアップ：KB5005076
Windows 8.1 / Windows Server 2012 R2 セキュリティのみ：KB5005106
Windows Server 2012 マンスリー ロールアップ：KB5005099
Windows Server 2012 セキュリティのみ：KB5005094
企業向けの有償延長サポートに加入している顧客にはWindows 7とWindows ServerNE 2008/2008 R2向けにもパッチが提供される。
Microsoft Officeなど
Microsoft Officeなども脆弱性の修正、信頼性向上の月次アップデートが配信されている。これらのMicrosoft製品は、ユーザーがWindowsの更新時に他のMicrosoft製品の更新プログラムも入手するオプションを有効にしていないと配信されない。
設定から更新とセキュリティでWindows Update画面、詳細オプションを開きWindowsの更新時に他のMicrosoft製品の更新プログラムを受け取るにチェックが入っていればMicrosoft OfficeなどのアップデートもWindows Updateで自動的に導入される。
自動更新が原因となって不具合を引くこともなくはないのだが、仕事でOffice製品を使うのであれば基本的に最新のセキュリティ環境が自動的に導入されるほうが良いだろう。
Release notes for Microsoft Office security updates - Office release notes | Microsoft Docs
Windows10 v2004/20H2/21H1にはKB5005033が配信
とりあえず私物のhp ENVY x360 13-ar0000(20H2)にKB5005033を適用。
アップデートのインストール開始から再起動を要求されるまで15分ほどかかった。
再起動中、アップデートの構成が行われるが再起動には2分かからなかった。
モダンな環境ならさほど時間はかからないだろうが、ストレージがHDDやeMMCなどのプアな環境では時間がかかる可能性もある。
更新のハイライト
ポイントアンドプリントでドライバをインストールするには管理者権限が必要になった。ポイントアンドプリントを使用している場合、詳細はManage new Point and Print default driver installation behaviorおよびCVE-2021-34481。
既知の不具合
相変わらず日本語IMEを使用して、ふりがなの入力を自動的に許可するアプリで正しいふりがなが得られない場合がある不具合が継続している。この問題は以前のバージョンのMicrosoft IMEを使うオプションを利用することで回避できる。
アプリが印刷を試みる度に管理者の認証を要求される
2021年8月度以降のセキュリティアップデートを適用した環境でアプリが印刷を試みる度に管理者の認証を要求される問題が発生している。
ポイント アンド プリントを利用する一部の環境で、アプリがプリントサーバーで印刷しようとしたり、プリントクライアントがプリントサーバーに接続するたび、「このプリンターを信頼しますか」というプロンプトが表示され、管理者の認証情報のインストールが必要になることがある。
Microsoftは、回避策としてすべての印刷デバイスが最新のドライバを使用していることを確認して、なるべくプリントクライアントとプリントサーバーで同じバージョンの印刷ドライバを利用するように呼びかけている。もしドライバーを更新しても問題が解決しない場合は、プリンタのメーカーサポートに問い合わせるようにとアナウンスされている。
既知の脆弱性
Windowsの印刷スプーラー(Print Spooler)サービスにゼロデイ脆弱性(CVE-2021-36958)が存在することが明らかにされている。現在、修正パッチは提供されていない。悪用の事例は報告されていない。
回避策として、以下のPowerShellコマンドで印刷スプーラーサービスを無効化する方法が案内されている。
# 印刷スプーラーサービスが有効になっているか確認
Get-Service -Name Spooler
# 有効であれば、サービスを強制的に停止する
Stop-Service -Name Spooler -Force
# サービスを無効化する
Set-Service -Name Spooler -StartupType Disabled
(9/8追記)CVE-2021-40444
Microsoftは米国時間で9月7日、Windowsに未修正の脆弱性 CVE-2021-40444 が存在することを発表した。深刻度は同社の基準で5段階中2番目に高い Important 。すでに悪用が確認されている。
脆弱性が存在するのは、Windows 7/Server 2008以降のWindows。大多数のユーザーが利用しているWindows 10 Home/Proの一般サポートが継続しているバージョンも含まれる。
脆弱性の内容は、Internet ExplorerのレンダリングエンジンMSHTMLの欠陥によって、リモートからコードを実行されてしまうというもの。特別な細工が施されたMicrosoft Office 文書ファイルを使用した攻撃が確認されているとのこと。
攻撃はMicrosoft Defender Antivirus または Microsoft Defender for Endpoint のセキュリティ インテリジェンスがv1.349.22.0以降であれば Suspicious Cpl File Execution として検知される。また、緩和策としてネット上から取得した Microsoft Office 文書は保護ビューまたはApplication Guard for Officeで開くことを推奨している。
追加の回避策として、Internet ExplorerでActiveXコントロールのインストールを無効化する方法が案内されている。すべてのWebサイトでActiveXコントロールのインストールを無効化するにはレジストリの編集が必要となる。(追記ここまで)
KB5005932：Windows10 v2004/20H2/21H1
8月24日、Microsoftは一部の不具合が発生している端末を対象に互換性の修正を提供するKB5005932をリリースした。この互換性修正によって、最新の累積更新プログラムのインストールを完了できないデバイスでインプレースアップグレードを実行できるようになるとしている。5月末のオプションの更新プログラムおよび6月の定例セキュリティアップデート後、一部の端末で新しい更新プログラムをインストール出来なくなってしまっていた問題を修正するもの。本来ならばインプレースアップグレードによって放っておけば問題が解決するものが、ARM64デバイスでは機能していなかったということのようだ。
リリースチャネルはMicrosoft Update カタログ。プログラムはこれまでインプレースアップグレードを実行することが出来なかった、ARM64アーキテクチャを搭載したデバイスに向けてリリースされており、対象となる端末は極めて限定的なので、世の中のほとんどの人間は気にしなくてよい。
ARM64とは
スマートフォンや組み込みデバイスなどで用いられるCPUのアーキテクチャのこと。世の中に流通しているインテルやAMDのCPUを搭載したパソコンはx86というアーキテクチャ。アーキテクチャが異なると、共通なプログラム・コードを利用することが出来なくなることがある他、パフォーマンスの低下などの影響も発生する。
参考・関連リンク
Security Update Guide - Microsoft Security Response Center
CVE-2021-36958-Security Update Guide - Microsoft Security Response Center
KB5005932: Windows Setup Update for Windows 10, version 2004, 20H2, and 21H1: August 24, 2021
