2021年3月のセキュリティアップデートレビュー解説
2021年に入り三度目の第２火曜日となった3月9日には、Adobe社およびMicrosoft社からセキュリティ更新プログラムが提供されました。これらのセキュリティ更新プログラムの詳細について確認しましょう。
2021年に入り三度目の第２火曜日となった3月9日には、Adobe社およびMicrosoft社からセキュリティ更新プログラムが提供されました。これらのセキュリティ更新プログラムの詳細について確認しましょう。
■Adobe社による2021年3月のセキュリティパッチ
Adobe社は3月、「Adobe Connect」、「Creative Cloud Desktop」、「Framemaker」に確認された8つの脆弱性に対処するための3つのセキュリティパッチをリリースしました。これらの脆弱性のうち 2 つは、トレンドマイクロが運営する脆弱性発見・研究コミュニティ「Zero Day Initiative（ZDI）」による「ZDI program」を通して発見されたものです。Framemaker のアップデートは、リモートコード実行につながる可能性のある境界外（Out-of-Bounds、OOB）読み取りの脆弱性が 1 つ修正されています。Creative Cloud のアップデートでは、深刻度レベル「緊急（Critical）」の脆弱性が3つ修正されています。これらの脆弱性のうち2つはコード実行につながる可能性があり、もう1つは特権昇格につながる可能性があります。Adobeが3月に公開したパッチの最後のものは、Adobe Connectにおける「緊急」レベルの脆弱性１つと、「Important（重要）」レベルの脆弱性３つに対処しています。「緊急」に分類された脆弱性は任意のコード実行につながる可能性があり、他の脆弱性はすべてクロスサイトスクリプティング（XSS）の脆弱性です。Adobe社が対処した脆弱性はいずれも、公開時点で、一般に公開されているもの、あるいは悪用の事実を確認されているものに該当していません。
最初のリリースの後、Adobe社はさらに「PhotoShop」と「Animate」の9つの脆弱性に対処するパッチを公開しました。Animateのパッチでは、深刻度「緊急」の脆弱性２つと深刻度「重要」の脆弱性5つが修正されています。緊急レベルの脆弱性はバッファオーバーフローでコード実行が可能となり、重要レベルの脆弱性は情報漏えいの可能性があります。 PhotoShopのパッチでは、コードの実行が可能になる可能性のある緊急レベルの脆弱性2つが修正されています。公開時点では、いずれの問題も公表されておらず、活発な攻撃を受けていません。これらも、一般に公開されている、あるいは悪用の事実を確認されている脆弱性には該当していません。
■Microsoftによる2021年3月のセキュリティ更新プログラム
Microsoft社は3月の第1週、「Exchange」の7つの脆弱性に対処する緊急パッチをリリースし、通常より早い対応をとりました。月例のパッチチューズデーを待たずしてパッチがリリースされた理由は脆弱性のうち4つについて、悪用の事実が確認されているためです。これらの脆弱性に関する詳細はこちらの記事にて紹介しています。オンプレミスでExchangeを使用している場合は、公開された指示に従ってできるだけ早くパッチを適用する必要があります。今回Microsoftは、サポート対象外のバージョンの Exchange に対してもパッチを提供するという異例の措置をとっています。これは、これらのアップデートを無視することは大変危険であることを示しています。
Microsoft社は3月分として、「Microsoft Windows」のコンポーネント、「Azure」および「Azure DevOps」、「Azure Sphere」、「Internet Explorer（IE）」および「Edge（EdgeHTML）」、「Exchange Server」、「Office」および「Office Services」と「Web Apps」、「SharePoint Server」、「Visual Studio」、および「Windows Hyper-V」を対象とする89件の脆弱性に対処するためのパッチをリリースしました。これら89件の脆弱性には先週リリースされた7つのExchange の脆弱性が含まれています。これらの脆弱性のうち、合計15件がZDI programを通じて発見されています。89件のうち、14件が「緊急」、75件が「重要」となっています。Microsoft社によると、リリース時点で、これらの脆弱性のうち2件はすでに一般に公開されており、5件については悪用の事実を確認済み、として報告されています。
なお、これらの脆弱性の数には、最近の更新でパッチが適用されたEdge ブラウザの Chromium バージョンの脆弱性は含まれていないことに注意してください。このブラウザのバージョン 89 が3月第1週にリリースされています。
今月のアップデートの中で特に注目すべき脆弱性をいくつかご紹介します。
– CVE-2021-26411 – Internet Explorer のメモリ破損の脆弱性
この脆弱性は、特別に細工された HTML ファイルを閲覧した場合に、攻撃者が影響を受けるシステム上でコードを実行できるようになるInternet Explorer （IE）と Edge （HTML ベースのEdge）のバグです。Microsoft社ではリリース時点で、この脆弱性は一般に公開および悪用の事実を確認済みとしています。Exchange のバグほど影響力は大きくありませんが、Microsoft のブラウザを使用している企業組織は、このパッチを迅速に適用する必要があります。この脆弱性の悪用に成功すると、ログオンしたユーザのレベルでコードが実行される可能性があるため、管理者権限のアカウントでWebを閲覧しないよう注意されています。
– CVE-2021-26897 – Windows DNS サーバのリモートコード実行の脆弱性
DNSサーバのリモートコード実行（Remote Code Execution、RCE）の脆弱性は2カ月連続で公開されており、今月は複数報告されています。合計で5つのバグがDNSサーバのリモートコード実行の脆弱性として公開されていますが、この脆弱性だけが「緊急」に分類されています。いずれも、Secure Zone Update の有効化によって悪用に成功される可能性が低くなりますが、完全に防ぐことができるわけではないことに注意してください。これは、動的なアップデートがこれらの脆弱性の悪用に関与している可能性があることを示唆しています。これら5件の脆弱性はすべて共通脆弱性評価システム（CVSS ）で9.8と記載されており、DNSサーバ間でワーム活動が可能になる可能性があります。これらの更新プログラムのテストおよび適用は優先順位を上げ確実に実行してください。
– CVE-2021-26867 – Windows Hyper-Vの リモートコード実行の脆弱性
この脆弱性により、認証された攻撃者が Hyper-V サーバ上でコードを実行できる可能性があります。CVSS は9.9 と記載されているものの、この脆弱性は Plan-9 ファイルシステムを使用している場合にのみ該当します。Microsoft社はこの脆弱性の影響を受ける他の Hyper-V クライアントについて公表していませんが、 自組織でPlan-9 を使用している場合、できるだけ早くパッチを適用してください。
– CVE-2021-27076 – Microsoft SharePoint Serverのリモートコード実行の脆弱性
この脆弱性は ZDI programを通して確認されたコード実行の脆弱性です。攻撃者が悪用を成功させるためには、SharePoint サーバでサイトを作成または変更することが可能でなければなりません。しかしながら、SharePoint の初期設定では、認証されたユーザがサイトを作成することができます。その場合、そのユーザはこのサイトの所有者となり、必要な権限をすべて持つことになります。この脆弱性は、過去にZDIのブログでも紹介しているSharePointの脆弱性と類似していますが、近日中にさらに詳細解説をする予定です。
以下は、Microsoft社による2021年3月の更新プログラムで対処している脆弱性一覧です。
| CVE識別番号 | 脆弱性名称 | 深刻度 | CVSS | 一般公開 | 悪用確認 | DOS |
| CVE-2021-26411 | Internet Explorer のメモリ破損の脆弱性 | 緊急 | 8.8 | はい | はい | RCE |
| CVE-2021-26855 | Microsoft Exchange Server のリモートコード実行の脆弱性 | 緊急 | 9.1 | いいえ | はい | RCE |
| CVE-2021-26857 | Microsoft Exchange Server のリモートコード実行の脆弱性 | 緊急 | 7.8 | いいえ | はい | RCE |
| CVE-2021-27065 | Microsoft Exchange Server のリモートコード実行の脆弱性 | 緊急 | 7.8 | いいえ | はい | RCE |
| CVE-2021-26858 | Microsoft Exchange Server のリモートコード実行の脆弱性 | 重要 | 7.8 | いいえ | はい | RCE |
| CVE-2021-27077 | Windows Win32k の特権昇格の脆弱性 | 重要 | 7.8 | はい | いいえ | EoP |
| CVE-2021-27074 | Azure Sphere の未署名コード実行の脆弱性 | 緊急 | 6.2 | いいえ | いいえ | RCE |
| CVE-2021-27080 | Azure Sphere の未署名コード実行の脆弱性 | 緊急 | 9.3 | いいえ | いいえ | RCE |
| CVE-2021-21300 | Git for Visual Studio のリモートコード実行の脆弱性 | 緊急 | 8.8 | いいえ | いいえ | RCE |
| CVE-2021-24089 | HEVC ビデオ拡張機能のリモートコード実行の脆弱性 | 緊急 | 7.8 | いいえ | いいえ | RCE |
| CVE-2021-26902 | HEVC ビデオ拡張機能のリモートコード実行の脆弱性 | 緊急 | 7.8 | いいえ | いいえ | RCE |
| CVE-2021-27061 | HEVC ビデオ拡張機能のリモートコード実行の脆弱性 | 緊急 | 7.8 | いいえ | いいえ | RCE |
| CVE-2021-26412 | Microsoft Exchange Server のリモートコード実行の脆弱性 | 緊急 | 9.1 | いいえ | いいえ | RCE |
| CVE-2021-26876 | OpenType フォントのリモートコード実行の脆弱性 | 緊急 | 8.8 | いいえ | いいえ | RCE |
| CVE-2021-26897 | Windows DNS Serverのリモートコード実行の脆弱性 | 緊急 | 9.8 | いいえ | いいえ | RCE |
| CVE-2021-26867 | Windows Hyper-Vのリモートコード実行の脆弱性 | 緊急 | 9.9 | いいえ | いいえ | RCE |
| CVE-2021-26890 | Application Virtualizationのリモートコード実行の脆弱性 | 重要 | 7.8 | いいえ | いいえ | RCE |
| CVE-2021-27075 | Azure Virtual Machineの情報漏えいの脆弱性 | 重要 | 6.8 | いいえ | いいえ | Info |
| CVE-2021-24095 | DirectX の特権昇格の脆弱性 | 重要 | 7 | いいえ | いいえ | EoP |
| CVE-2021-24110 | HEVC ビデオ拡張機能のリモートコード実行の脆弱性 | 重要 | 7.8 | いいえ | いいえ | RCE |
| CVE-2021-27047 | HEVC ビデオ拡張機能のリモートコード実行の脆弱性 | 重要 | 7.8 | いいえ | いいえ | RCE |
| CVE-2021-27048 | HEVC ビデオ拡張機能のリモートコード実行の脆弱性 | 重要 | 7.8 | いいえ | いいえ | RCE |
| CVE-2021-27049 | HEVC ビデオ拡張機能のリモートコード実行の脆弱性 | 重要 | 7.8 | いいえ | いいえ | RCE |
| CVE-2021-27050 | HEVC ビデオ拡張機能のリモートコード実行の脆弱性 | 重要 | 7.8 | いいえ | いいえ | RCE |
| CVE-2021-27051 | HEVC ビデオ拡張機能のリモートコード実行の脆弱性 | 重要 | 7.8 | いいえ | いいえ | RCE |
| CVE-2021-27062 | HEVC ビデオ拡張機能のリモートコード実行の脆弱性 | 重要 | 7.8 | いいえ | いいえ | RCE |
| CVE-2021-27085 | Internet Explorerのリモートコード実行の脆弱性 | 重要 | 8.8 | いいえ | いいえ | RCE |
| CVE-2021-27053 | Microsoft Excelのリモートコード実行の脆弱性 | 重要 | 7.8 | いいえ | いいえ | RCE |
| CVE-2021-27054 | Microsoft Excelのリモートコード実行の脆弱性 | 重要 | 7.8 | いいえ | いいえ | RCE |
| CVE-2021-26854 | Microsoft Exchange Server のリモートコード実行の脆弱性 | 重要 | 6.6 | いいえ | いいえ | RCE |
| CVE-2021-27078 | Microsoft Exchange Server のリモートコード実行の脆弱性 | 重要 | 9.1 | いいえ | いいえ | RCE |
| CVE-2021-27058 | Microsoft Office ClickToRunのリモートコード実行の脆弱性 | 重要 | 7.8 | いいえ | いいえ | RCE |
| CVE-2021-24108 | Microsoft Officeのリモートコード実行の脆弱性 | 重要 | 7.8 | いいえ | いいえ | RCE |
| CVE-2021-27057 | Microsoft Officeのリモートコード実行の脆弱性 | 重要 | 7.8 | いいえ | いいえ | RCE |
| CVE-2021-27059 | Microsoft Officeのリモートコード実行の脆弱性 | 重要 | 7.6 | いいえ | いいえ | RCE |
| CVE-2021-26859 | Microsoft Power BIの情報漏えいの脆弱性 | 重要 | 7.7 | いいえ | いいえ | Info |
| CVE-2021-27056 | Microsoft PowerPointのリモートコード実行の脆弱性 | 重要 | 7.8 | いいえ | いいえ | RCE |
| CVE-2021-27052 | Microsoft SharePoint Serverの情報漏えいの脆弱性 | 重要 | 5.3 | いいえ | いいえ | Info |
| CVE-2021-27076 | Microsoft SharePoint Serverのリモートコード実行の脆弱性 | 重要 | 8.8 | いいえ | いいえ | RCE |
| CVE-2021-24104 | Microsoft SharePointのなりすましの脆弱性 | 重要 | 4.6 | いいえ | いいえ | Spoof |
| CVE-2021-27055 | Microsoft Visioのセキュリティ機能のバイパスの脆弱性 | 重要 | 7 | いいえ | いいえ | SFB |
| CVE-2021-26887 | Microsoft Windowsフォルダリダイレクトの特権昇格の脆弱性 | 重要 | 7.8 | いいえ | いいえ | EoP |
| CVE-2021-26881 | Microsoft Windows Media Foundationのリモートコード実行の脆弱性 | 重要 | 7.5 | いいえ | いいえ | RCE |
| CVE-2021-27082 | Quantum Development Kit for Visual Studio Codeのリモートコード実行の脆弱性 | 重要 | 7.8 | いいえ | いいえ | RCE |
| CVE-2021-26882 | Remote Access API の特権昇格の脆弱性 | 重要 | 7.8 | いいえ | いいえ | EoP |
| CVE-2021-27083 | Remote Development Extension for Visual Studio Codeのリモートコード実行の脆弱性 | 重要 | 7.8 | いいえ | いいえ | RCE |
| CVE-2021-26880 | Storage Spaces Controllerの特権昇格の脆弱性 | 重要 | 7.8 | いいえ | いいえ | EoP |
| CVE-2021-26886 | User Profile Serviceのサービス拒否の脆弱性 | 重要 | 5.5 | いいえ | いいえ | DoS |
| CVE-2021-27081 | Visual Studio Code ESLint Extensionのリモートコード実行の脆弱性 | 重要 | 7.8 | いいえ | いいえ | RCE |
| CVE-2021-27084 | Visual Studio Code Java Extension Packのリモートコード実行の脆弱性 | 重要 | 記載なし | いいえ | いいえ | RCE |
| CVE-2021-27060 | Visual Studio Codeのリモートコード実行の脆弱性 | 重要 | 7.8 | いいえ | いいえ | RCE |
| CVE-2021-27070 | Windows 10 Update Assistantの特権昇格の脆弱性 | 重要 | 7.3 | いいえ | いいえ | EoP |
| CVE-2021-26869 | Windows ActiveX Installer Serviceの情報漏えいの脆弱性 | 重要 | 5.5 | いいえ | いいえ | Info |
| CVE-2021-27066 | Windows Admin Center セキュリティ機能バイパスの脆弱性 | 重要 | 4.3 | いいえ | いいえ | SFB |
| CVE-2021-26860 | Windows App-V Overlay Filterの特権昇格の脆弱性 | 重要 | 7.8 | いいえ | いいえ | EoP |
| CVE-2021-26865 | Windows Container Execution Agentの特権昇格の脆弱性 | 重要 | 8.8 | いいえ | いいえ | EoP |
| CVE-2021-26891 | Windows Container Execution Agentの特権昇格の脆弱性 | 重要 | 7.8 | いいえ | いいえ | EoP |
| CVE-2021-26896 | Windows DNS Server のサービス拒否の脆弱性 | 重要 | 7.5 | いいえ | いいえ | DoS |
| CVE-2021-27063 | Windows DNS Server のサービス拒否の脆弱性 | 重要 | 7.5 | いいえ | いいえ | DoS |
| CVE-2021-26877 | Windows DNS Serverのリモートコード実行の脆弱性 | 重要 | 9.8 | いいえ | いいえ | RCE |
| CVE-2021-26893 | Windows DNS Serverのリモートコード実行の脆弱性 | 重要 | 9.8 | いいえ | いいえ | RCE |
| CVE-2021-26894 | Windows DNS Serverのリモートコード実行の脆弱性 | 重要 | 9.8 | いいえ | いいえ | RCE |
| CVE-2021-26895 | Windows DNS Serverのリモートコード実行の脆弱性 | 重要 | 9.8 | いいえ | いいえ | RCE |
| CVE-2021-24090 | Windows Error Reportingの特権昇格の脆弱性 | 重要 | 7.8 | いいえ | いいえ | EoP |
| CVE-2021-26872 | Windows Event Tracing の特権昇格の脆弱性 | 重要 | 7.8 | いいえ | いいえ | EoP |
| CVE-2021-26898 | Windows Event Tracing の特権昇格の脆弱性 | 重要 | 7.8 | いいえ | いいえ | EoP |
| CVE-2021-26901 | Windows Event Tracing の特権昇格の脆弱性 | 重要 | 7.8 | いいえ | いいえ | EoP |
| CVE-2021-24107 | Windows Event Tracing の情報漏えいの脆弱性 | 重要 | 5.5 | いいえ | いいえ | Info |
| CVE-2021-26892 | Windows Extensible Firmware Interface のセキュリティ機能バイパスの脆弱性 | 重要 | 6.2 | いいえ | いいえ | SFB |
| CVE-2021-26868 | Windows Graphics Componentの特権昇格の脆弱性 | 重要 | 7.8 | いいえ | いいえ | EoP |
| CVE-2021-26861 | Windows Graphics Componentのリモートコード実行の脆弱性 | 重要 | 7.8 | いいえ | いいえ | RCE |
| CVE-2021-26862 | Windows Installer の特権昇格の脆弱性 | 重要 | 6.3 | いいえ | いいえ | EoP |
| CVE-2021-26884 | Windows Media Photo Codec の情報漏えいの脆弱性 | 重要 | 5.5 | いいえ | いいえ | Info |
| CVE-2021-26879 | Windows NAT Denial of Service Vulnerability | 重要 | 7.5 | いいえ | いいえ | DoS |
| CVE-2021-26874 | Windows Overlay Filter の特権昇格の脆弱性 | 重要 | 7.8 | いいえ | いいえ | EoP |
| CVE-2021-1640 | Windows Print Spooler の特権昇格の脆弱性 | 重要 | 7.8 | いいえ | いいえ | EoP |
| CVE-2021-26878 | Windows Print Spooler の特権昇格の脆弱性 | 重要 | 7.8 | いいえ | いいえ | EoP |
| CVE-2021-26870 | Windows Projected File System の特権昇格の脆弱性 | 重要 | 7.8 | いいえ | いいえ | EoP |
| CVE-2021-26866 | Windows Update Service の特権昇格の脆弱性 | 重要 | 7.1 | いいえ | いいえ | EoP |
| CVE-2021-26889 | Windows Update Stack の特権昇格の脆弱性 | 重要 | 7.1 | いいえ | いいえ | EoP |
| CVE-2021-1729 | Windows Update Stack Setup の特権昇格の脆弱性 | 重要 | 7.1 | いいえ | いいえ | EoP |
| CVE-2021-26899 | Windows UPnP Device Host の特権昇格の脆弱性 | 重要 | 7.8 | いいえ | いいえ | EoP |
| CVE-2021-26873 | Windows User Profile Service の特権昇格の脆弱性 | 重要 | 7 | いいえ | いいえ | EoP |
| CVE-2021-26864 | Windows Virtual Registry Providerの特権昇格の脆弱性 | 重要 | 8.4 | いいえ | いいえ | EoP |
| CVE-2021-26871 | Windows WalletService の特権昇格の脆弱性 | 重要 | 7.8 | いいえ | いいえ | EoP |
| CVE-2021-26885 | Windows WalletService の特権昇格の脆弱性 | 重要 | 7.8 | いいえ | いいえ | EoP |
| CVE-2021-26863 | Windows Win32kの特権昇格の脆弱性 | 重要 | 7 | いいえ | いいえ | EoP |
| CVE-2021-26875 | Windows Win32kの特権昇格の脆弱性 | 重要 | 7.8 | いいえ | いいえ | EoP |
| CVE-2021-26900 | Windows Win32k の特権昇格の脆弱性 | 重要 | 7.8 | いいえ | いいえ | EoP |
他の「緊急」レベルのパッチは、2つがAzure Sphereに影響する脆弱性ですが、特に対処する必要はないでしょう。Azure Sphereを実行しているデバイスはインターネットに接続されていれば、自動で更新プログラムが適用されるからです。デバイスがインターネットに接続していない場合には、アップデートが適用されていることを確認する必要があります。HEVC Video Extensions の脆弱性を修正するパッチは 4 つあり、これらのパッチは Windows ストアから入手できます。OpenType フォントのためのパッチは、特別に細工されたフォントを表示することによって悪用できる脆弱性に対処するものです。最後に、Visual Studio の Git 用の興味深いアップデートでは、特権なしで、ある程度のレベルのユーザ操作で悪用することのできるバグを修正しています。攻撃方法の複雑性も低いとされているので、今後この脆弱性についての情報が報告されるかもしれません。
深刻度「重要」レベルの脆弱性に目を移すと、まだ多くのコード実行の脆弱性が残っています。実際、今月3月にパッチが公開された90件の脆弱性のうち、45件が何らかの「リモートコード実行の脆弱性」として報告されています。深刻度「緊急」に該当する脆弱性の影響を受ける「重要」レベルに該当するコンポーネントの多くは、緊急にあわせたアップデートが行われています。これには、Exchange、DNS Server、HVEC Video Extensions、および Internet Explorer が含まれます。今月のリリースには、Visual Studio が影響を受ける5 つの RCE の脆弱性が含まれています。ほとんどは容易に対処できますが、Quantum Development Kit for Visual Studio のアップデートは手動でダウンロードする必要があります。これは Visual Studio の拡張機能ページから行うことができます。また、OfficeやOfficeコンポーネントのアップデートも予想されています。また、先月同様、Microsoft Office 2019 for Macのユーザは、アップデートが利用可能になるまで待つ必要があります。
３月のリリースで対処された 30件 の特権昇格 （Elevation of Privilege、EoP）の脆弱性を見ると、ほとんどは、攻撃者が影響を受けるシステムにログオンし、特権を昇格させるために特別に細工されたコードを実行することを必要とします。これらのパッチのほとんどは、Windows カーネルと様々な Windows コンポーネントに影響を与えます。
今月のリリースには、6つの情報漏えいの脆弱性に対するパッチが含まれています。通常、この種のケースでは、特定されていないメモリの内容で構成された情報の漏えいのみが発生します。これらの脆弱性のうち3つはそうですが、他の脆弱性は、重要な情報の漏えいにつながります。Azure Virtual Machine の脆弱性は、権限の低いユーザが仮想マシンの認証情報や仮想マシンに関連付けられた拡張機能の認証情報を取得することを可能にします。他に認証情報関連では、Microsoft Power BI のバグは NTLM ハッシュを漏えいさせる可能性があり、それによって平文のパスワードが漏えいする可能性があります。最後に、Microsoft 社の記事によると、SharePoint Server の情報漏えいにより、攻撃者は「組織の電子メール、Webサイト、ファイル名、ファイルの URLなど」にアクセスできる可能性があるとされています。このような一般的な説明が記載されているだけであるといえ、貴重な情報が攻撃者によって暴露される可能性があると推測されます。
今月、3つのコンポーネントに対するセキュリティ機能バイパス（security feature bypasses 、SFB）の脆弱性を修正するためのパッチが提供されました。Windows Extensible Firmware Interface と Windows Admin Center の脆弱性にはパッチが公開されていますが、ドキュメントによる情報はありません。Visio 用の SFBの脆弱性 にはいくつか追加の情報がありますが、攻撃のシナリオは一般的なものとは程遠いようです。システムが影響を受けるのは、特定のGroup Policy Objectのみです。さらに攻撃者は、Excelのマクロを有効にしたテンプレートを変更する必要があります。この2つの条件が満たされ、ユーザがそのGroup Policyの影響を受けるシステム上で悪意のあるファイルを実行した場合、何らかの形でセキュリティ機能バイパスが発生する可能性があります。この記事を読む限りでは、差し迫った危険性は感じられませんが、それでもパッチを適用した方が良いでしょう。
今月のリリースでは、4つのサービス拒否（denial-of-service 、DoS）となりすましの脆弱性が含まれています。なりすましのバグは SharePoint サーバで発生しますが、それ以上の情報は提供されていません。DoS バグのうち 2 つは DNS Server サービスに影響を与えるもので、前述のリモートコード実行のバグと同様の注意事項があります。また、NAT Serverサービスにも DoS のバグがあります。これらのバグについては、サービスの再起動だけで済むのか、システムの完全な再起動が必要なのかは不明です。最後の DoS のバグは ZDI programを通じて報告されたものです。こちらはサービスへの影響は与えませんが、代わりにUser Profile Serviceのバグを指摘しています。ジャンクションを作成することで、攻撃者はサービスを悪用して選択したファイルの内容を上書きし、DoS攻撃を発生させることができます。
最後に、Servicing Stack のアドバイザリ（ADV990001）が複数のバージョンのWindows向けに修正されました。その他、今月は追加のアドバイザリはリリースされていません。
参考記事：
- 「THE MARCH 2021 SECURITY UPDATE REVIEW」
By Dustin Childs
翻訳： 室賀 美和（Core Technology Marketing, Trend Micro™ Research）