「Microsoft Edge 91」にセキュリティアップデート～2件の脆弱性を修正

v91.0.864.59への更新を

2021/06/25　

「Microsoft Edge 91」にセキュリティアップデート～2件の脆弱性を修正／v91.0.864.59への更新を　米Microsoftは6月24日（現地時間）、「Microsoft Edge」の最新安定（Stable）版v91.0.864.59を公開した。脆弱性に対処したセキュリティアップデートとなっている。

forest.watch.impress.co.jp

　米Microsoftは6月24日（現地時間）、「Microsoft Edge」の最新安定（Stable）版v91.0.864.59を公開した。脆弱性に対処したセキュリティアップデートとなっている。

　本バージョンで修正された問題は、CVE番号ベースで2件。セキュリティ機能のバイパス（CVE-2021-34506）と特権昇格の問題（CVE-2021-34475）が解決された。いずれも「Chromium」には関係がなく、「Edge」独自の問題だ。深刻度は「Important」と評価されている。

　安定版「Microsoft Edge」はWindows/Macに対応しており、現在公式サイトから無償でダウンロード可能。すでに利用中の場合は、自動で更新されるため何もする必要はない。手動で更新したい場合は、画面左上のメニュー（［…］アイコン）から［ヘルプとフィードバック］－［Microsoft Edge について］画面（edge://settings/help）へアクセスするとよい。

「Microsoft Edge」が脆弱性2件を修正 - Chrome修正で言及なかった脆弱性

マイクロソフトは、同社ブラウザ「Microsoft Edge」の最新版となる「同91.0.864.59」をリリースし、2件の脆弱性を修正した。「Chrome」の更新において言及されていなかった脆弱性だ。

今回のアップデートは、権限昇格の脆弱性「CVE-2021-34475」や、セキュリティ機能がバイパスされるおそれがある脆弱性「CVE-2021-34506」に対応したもの。いずれも重要度は、4段階において上から2番目にあたる「重要（Important）」とレーティングされている。

共通脆弱性評価システム「CVSSv3.0」のベーススコアは、「CVE-2021-34506」が「5.4」。「CVE-2021-34475」は、6月25日の時点でスコアが付与されていない。

今回のアップデートは、「Chromium 91.0.4472.101」をベースとしたものだが、現地時間6月10日に公開された「Chrome 91.0.4472.101」の更新においてこれら脆弱性の修正については言及されていない。いずれも重要度が付与されていることからも、「Microsoft Edge」独自の脆弱性と見られる。

「Chrome 91.0.4472.101」で修正された「CVE-2021-30554」「CVE-2021-30555」「CVE-2021-30556」「CVE-2021-30557」について、MSでは「Chromium 91.0.4472.114」をベースとする現地時間19日にリリースした「Microsoft Edge 91.0.864.54」で対応したことを明らかにしている。

2021/06/25　

【セキュリティニュース】「Microsoft Edge」が脆弱性2件を修正 - Chrome修正で言及なかった脆弱性（1ページ目 / 全1ページ）：Security NEXTマイクロソフトは、同社ブラウザ「Microsoft Edge」の最新版となる「同91.0.864.59」をリリースし、2件の脆弱性を修正した。「Chrome」の更新において言及されていなかった脆弱性だ。：Security NEXT

www.security-next.com

129機種3000万台超のDell製デバイスに影響する重大な脆弱性が見つかる、BIOS/UEFIレベルの任意コード実行が可能

2021/06/25　

129機種3000万台超のDell製デバイスに影響する重大な脆弱性が見つかる、BIOS/UEFIレベルの任意コード実行が可能デバイスの状態を監視して問題を検知してくれるDellのSupportAssistに内在するサポート用ソリューション「BIOSConnect」に脆弱性が見つかりました。この脆弱性を突くとBIOS/UEFIレベルで任意コード実行が可能で、共通脆弱性評価システム(CVSS)スコアは「8.3」と算定されています。

gigazine.net

デバイスの状態を監視して問題を検知してくれるDellのSupportAssistに内在するサポート用ソリューション「BIOSConnect」に脆弱性が見つかりました。この脆弱性を突くとBIOS/UEFIレベルで任意コード実行が可能で、共通脆弱性評価システム(CVSS)スコアは「8.3」と算定されています。

Eclypsium Discovers Multiple Vulnerabilities in Dell BIOSConnect
https://eclypsium.com/2021/06/24/biosdisconnect/#mitigations

Dell SupportAssist bugs put over 30 million PCs at risk
https://www.bleepingcomputer.com/news/security/dell-supportassist-bugs-put-over-30-million-pcs-at-risk/

30M Dell Devices at Risk for Remote BIOS Attacks, RCE | Threatpost
https://threatpost.com/dell-bios-attacks-rce/167195/

30 million Dell devices affected by BIOSConnect code execution bugs
https://www.hackread.com/dell-devices-biosconnect-code-execution-bugs/

Flaws in Dell BIOSConnect feature affect 128 device modelsSecurity Affairs
https://securityaffairs.co/wordpress/119369/security/dell-biosconnect-flaws.html

BIOSConnectは、BIOSにDellのバックエンドサービスとHTTPs通信を行わせて更新・回復プロセスを実行するというDellのサポート用ソリューション。DellのサポートではBIOSConnectを活用することで、オンライン経由でシステムのファームウェアを更新したり、システムの復元操作を実行したりしています。

新たにセキュリティ企業Eclypsiumが特定した脆弱性は、攻撃者がDell.comになりすますことでBIOSConnectからBIOS/UEFIレベルで任意コード実行を行えるというもの。この脆弱性を突くことにより、攻撃者はOSを起動前の状態からコードをリモートで実行し、デバイスのブートプロセスの制御を奪取して、OSおよびより上位に存在するセキュリティコントロールを破壊することが可能とのこと。この脆弱性は、BIOSConnectがDellのバックエンドサービスにHTTPs接続しようとする際に、BIOSConnectからのTLS接続が任意のワイルドカード証明書を受け入れてしまうことが一因とされています。

BIOSConnectを含むSupportAssistはほぼ全てのWindows系Dell製PCに採用されており、DellのデスクトップPC・ノートPC・タブレットなど全129機種が影響を受ける見込み。この全129機種の出荷台数は3000万台を超えると見込まれるため、影響は広域に及ぶ見込みです。

Eclypsiumは今回の脆弱性を2021年3月に特定していましたが、Dellとの協議によって開示日を定め、開示日と同日にDellは脆弱性を修正するクライアント向けのBIOSファームウェアアップデートを配布しました。このファームウェアアップデートは、SupportAssist経由でインストール可能とのことですが、Eclypsiumは「アップデートファイルのハッシュをDellが公開したハッシュと照合した後、OSからBIOSアップデートファイルを実行することをお勧めします」と述べ、手動アップデートを推奨しています。

Microsoft Edge 91がv91.0.864.59への更新で 2件の脆弱性を修正