Microsoftは米国時間2月10日、4件のセキュリティ情報と、少なくとも8件のWindowsユーザーに影響のある明文化された脆弱性を修正するパッチを公開した。また、同社はInternet Explorerを通じて攻撃を行う「安定した悪用コードを容易に作成できる」可能性があると警告している。
今回の月例パッチで修正された脆弱性には、2件のIEに存在するコードを実行される可能性のあるセキュリティホール、Microsoft Exchange Serverの2件のバグ、Microsoft SQL Serverに存在する1件のリモートからコードを実行される可能性のあるセキュリティホール、Microsoft Office Visioのユーザーに影響のある3件の個別の欠陥がある。
Internet Explorerに関するセキュリティ情報(MS09-002)は緊急に処理されるべきものだ。これらのセキュリティホールを悪用することによって、自動ダウンロード攻撃を行うことが可能となる。
このセキュリティ更新プログラムは、サポートされているエディションの Windows XP および Windows Vista について深刻度は「緊急」です。サポートされているエディションの Windows Server 2003 および Windows Server 2008 で実行されている Internet Explorer 7 については、深刻度は「警告」です。
Microsoftは安定した悪用コードの可能性があると警告しているが、これは攻撃者が特別に作成したウェブサイトを作成することで、容易にパッチを適用していないユーザーを攻撃することができるということを意味している。
また、攻撃者は侵害された Web サイトおよびユーザーが提供したコンテンツや広告を受け入れるまたはホストする Web サイトを利用する可能性があります。これらの Web サイトには、この脆弱性を悪用する可能性のある特別に細工されたコンテンツが含まれている場合があります。
企業の管理者は、Microsoft Exchangeに関するアップデート(MS09-003)にも特別な注意を払った方がよいだろう。このアップデートは、ユーザーをコード実行攻撃あるいはサービス妨害攻撃にさらす可能性のある、異なる2つの脆弱性をカバーしている。
Microsoftは次のように説明している。
第 1 番目の脆弱性では、特別な細工がされた TNEF のメッセージが Microsoft Exchange Server に送信された場合に、リモートでコードが実行される可能性があります。攻撃者がこの脆弱性を悪用した場合、Exchange Server サービスアカウント特権を使用し、影響を受けるコンピューターを完全に制御する可能性があります。第 2 番目の脆弱性では、特別な細工がされた MAPI コマンドが Microsoft Exchange Server に送信された場合に、サービス拒否が起こる可能性があります。攻撃者がこの脆弱性を悪用した場合、Microsoft Exchange System Attendant サービスおよび EMSMDB32 プロバイダーを使用している別のサービスが応答を停止します。
Microsoftはこの脆弱性について、「不安定な悪用コード」が公開される可能性があると述べるに止まっている。しかし、nCircleのセキュリティ運用担当ディレクターAndrew Storms氏は、これは非常に深刻な問題だと述べている。
「この脆弱性を悪用すれば、サイバー犯罪者は特別に作成した添付ファイル付きの電子メールを企業に送ることによって、サーバーを完全に制御下に置き、その企業の重要な一角を手中に収めることができる」(Storms氏)
「Exchangeサーバには、日々あらゆる種類の極秘情報が流れている。このサーバとそこに納められているコンテンツを制御下に置くことは、サイバー犯罪者にとって宝の山となるだろう」と同氏は付け加えている。
この記事は海外CNET Networks発のニュースをシーネットネットワークスジャパン編集部が日本向けに編集したものです。海外CNET Networksの記事へ
-
ブックマーク(-)
- トラックバック(0)
- 印刷
-
- ウェブサイト
- コンテンツ
- ホスト
- Microsoft Exchange
- パッチ
- Internet Explorer
- Windows XP
- Windows Vista
- Windows Server 2003
- 月例パッチ
- Windows Server 2008
- Internet Explorer 7
- セキュリティホール
- バグ
- Microsoft
- Windows
- 脆弱性
- サイバー犯罪者
- 極秘情報
- MS09-003
- コード実行攻撃
- サービス妨害攻撃
- TNEF
- アカウント特権
- MAPIコマンド
- サービス拒否
- 深刻度
- Microsoft Exchange System Attendantサービス
- 警告
- EMSMDB32プロバイダー
- 攻撃者
- 応答
- 停止
- 侵害されたWebサイト
- 不安定な悪用コード
- 広告
- セキュリティ更新プログラム
- 安定
- 悪用コード
- 緊急
- 容易に作成
- IE
- コード実行
- Microsoft Exchange Server
- Microsoft SQL Server
- リモート
- Microsoft Office Visio
- MS09-002
- 自動ダウンロード攻撃
- セキュリティ情報
- 修正
関連情報
-
マイクロソフト月例パッチ事前通知:IE、Exchangeにパッチ
マイクロソフトが2月の月例パッチの事前通知を公開した。今回の月例パッチでは4件のセキュリティ情報が公開され、そのうち2件が「緊急」となっている。 - マイクロソフトの1月の月例パッチ:SMBの脆弱性の問題を解決
- Microsoft
「セキュリティ」 の新着情報
-
マイクロソフトがGoogle Chrome Frameにセキュリティホールを発見
Internet Explorerのプラグイン、Google Chrome Frameにセキュリティホールが発見された。パッチは公開済みで、自動的にアッ... - OSSTech、OpenLDAPを製品パッケージ化--性能向上で商用版からの置き換え狙う
- CSK Winテクノロジ、メール誤送信対策製品に「代理削除」などの新機能を追加
- プロジェクト管理ソフト「Redmine」に複数の脆弱性、バージョンアップを
- グーグル、「Chrome OS」デモイベントを開催--ソースコードを公開
- セキュリティ 一覧へ »
「Zero Day」 のバックナンバー
-
マイクロソフトがGoogle Chrome Frameにセキュリティホールを発見
Internet Explorerのプラグイン、Google Chrome Frameにセキュリティホールが発見された。パッチは公開済みで、自動的にアップデートされる。 -
モジラがFirefox 3.6で悪質アドオン対策を実装
-
Windows 7の脆弱性に対する攻撃コードが公開される
-
アップルはなぜWindowsのAutoRunに干渉しようとするのか
-
Safariに7件の脆弱性を修正するパッチ
- Zero Day 一覧へ »
-
iPhoneをビジネスで活用する時代へ〜ビジネス&モバイルのミライ〜
- 情報系システムにRDBMSが不適切なわけ −DWH構築のための最適解
- Active Directoryの課題に関する調査結果と対処方法
- 【VMware ESX 使ったMicrosoft Exchange Server の性能】
- 出し抜かれたログ管理システム――記録に残らない「情報持ち出し術」とは?
- ストレージ問題の課題に対する解決方法
- その投資に待った! ここまで使える SaaS 型コールセンターシステム
- BIベンダーの選び方 −BIベンダー選定のための評価フレームワーク
- ETLの進化形「データ統合」への移行戦略 −「データ統合」成功のための技術要件
- Webサイトに検索窓をご用意するだけで、自社Webサイト内の検索が実現するSaaS型検...
企画特集
-
電力に"ふた"をする独自の省エネ機能とは!?
動的に電力割り当ても可能なHPの最新鋭ブレードに迫る -
企業ITシステムの企画、構築、運用のイロハ
戦略的なITシステムのために、今考えるべきポイント -
高まるiSCSIストレージへの注目度
ストレージシステムの4つの課題とiSCSI導入のメリット -
―エン・ジャパン厳選求人☆毎週更新―
ハンゲームの社長が語る・人材とサービスの在り方 -
100万円で実現!中小企業の情報漏えい対策
中小企業の課題!?セキュリティ管理者不在でも大丈夫 -
グリー、3人のエンジニアが語る仕事への想い
連載第2話、元SIerに聞くリニューアルと開発の舞台裏 -
マネジメントの「コラム」と「コネタ」
今日のキーパーソンは誰? -
大丈夫?あなたの会社のセキュリティ対策
中堅・中小企業のネットワーク・セキュリティを考える -
【最終警告】パンデミック対策特集
サービス品質を保証するためのリスクマネジメントとは -
容量制限によるメール消去は一切無し!
全てを保存するメールセキュリティSaaSが登場 -
VMware OEMベンダー6社を独占インタビュー
IBM、HP、NEC、DELL、日立、富士通のVMwareの取り組み -
急増するオンライン犯罪への解決策!
オンラインサービス保護ソリューション -
J-SOX法制定により内部統制の整備が急務に
重要性高まるActive Directoryの課題と対処法を公開中
ZDNet Japan イベント
- 開催日:2009年11月26日(木)
- イベント一覧へ»
-
3.Composer概要
Intel Parallel Studioの一部であり、並列プログラムを実装するために役... -
4. Inspector概要
Intel Parallel Studioの一部であり、順次および並列プログラムでメモリ...
新着企業動向
-
ウェブテル・モビ社(Webtel.mobi)による 世界初、ジェットウィングの大陸間渡航が、世界中の...
JCN -
モバイルECで失敗しないためのノウハウ、一挙公開!
コンテクスト -
「大江戸セキュリティくろすわーど」好評につき期間延長しました!(11/15まで)
日立システムアンドサービス -
メールセキュリティSaaS『Mail Luck!セキュアタイプゲートウェイ』
NTTPCコミュニケーションズ(ネットワーク事業部) - 企業動向一覧へ»
