マイクロソフトが5月の月例パッチを公開

文:Ryan Naraine(Special to ZDNet.com) 翻訳校正:石橋啓一郎

2010-05-12 18:51

 Microsoftは米国時間5月11日、WindowsとMicrosoft Officeに存在する2件の緊急(遠隔からのコード実行)にレーティングされている脆弱性を修正するパッチを公開し、影響を受けるユーザーに対して、これらのパッチを出来る限り早く適用するよう求めている。

 もっとも深刻な問題は、セキュリティ情報MS10-030で説明されているもので、Outlook Express、Windows Mail、Windows Live Mailに影響がある。

 Microsoftによれば、Windows 2000、Windows XP、Windows Vista、Windows Server 2003、Windows Server 2008はすべて深刻度が「緊急」にレーティングされている。これは、攻撃に成功した場合、攻撃者が侵害を受けたコンピュータに対する完全なアクセスを得る可能性があるということだ。

 デフォルトの状態のWindows 7には、Windows Live Mailが含まれていないため、このセキュリティホールの影響を受けない。

 以下は、MicrosoftのSR&Dブログに掲載されている、可能性のある攻撃シナリオだ。

  • 中間者攻撃:攻撃者は、ユーザーのPOP3あるいはIMAPの正規の電子メールサーバに対する接続を横取りして操作する。このシナリオでは、もっとも可能性の高い攻撃ベクトルは、攻撃者が無線LANのホットスポットなどの信頼できないネットワークを経由する、正規のPOP3あるいはIMAPの接続を、横取りして改ざんするというものだ。ただしこの攻撃は、POP3あるいはIMAPのセッションがSSLを使用している場合には機能しない。電子メールアカウントに対するSSLによる保護は、サーバがその選択肢をサポートしている場合に利用できる。
  • 悪質な電子メールサーバ:攻撃者がユーザーを誘導し、悪意を持って設置された電子メールサーバに、POP3あるいはIMAPのどちらかのプロトコルで接続させる。この方法は、攻撃者がユーザーに対し、悪質な電子メールサーバに接続することを説得あるいは強制する必要があることから、攻撃ベクトルとしては可能性は低い。この攻撃にはかなりのソーシャルエンジニアリングが必要であり、成功する可能性は低い。ユーザーに悪質な電子メールサーバへの接続を強いるには、攻撃者はユーザーのLANへのアクセスが必要となるか、電子メールサーバのDSNエントリを書き換える手段を持っている必要がある。

 2件目のセキュリティ情報(MS10-031)では、Microsoft Visual Basic for Applicationに存在する、1件の明文化された脆弱性に対するパッチを提供している。このセキュリティアップデートは、すべてのサポートされているバージョンのMicrosoft VBA SDK 6.0と、Microsoft VBAを用いるサードパーティアプリケーションに対して、「緊急」にレーティングされている。

 Microsoft Visual Basic for ApplicationのActiveXコントロールを検索する方法に、遠隔からコードを実行される可能性のある脆弱性が存在する。この脆弱性は、ホストアプリケーションが特別に細工されたファイルを開き、そのファイルに含まれる細工されたデータがVisual Basic for Applicationランタイムに渡される場合に、遠隔からコードを実行される可能性がある。

 以下は、SR&Dチームによる技術的な詳細の説明だ。

 この脆弱性は、テキストの構文解析のコードの不具合から、1バイトスタックの上書きが生じるというものだ。・・・

・・・理論的には、この脆弱性を用いた攻撃が成功する方法はいくつか存在するが、どの場合も、プログラムが非常に特殊な要件を満たしている必要がある(例:リターンアドレスが0x00から始まっておらず、0x2eを含んでおり、0x2eを0x00に変更したものが、攻撃によって利用できるコードのアドレスを指す)。そのような要件はあり得ないことではないが、現実には見当たらない可能性が高い。

 われわれの分析によれば、任意のコードの実行につながる安定した攻撃コードが、今後30日以内に出回る可能性は低い。しかし今回は、われわれの用いている一般的なガイドラインに従い、この脆弱性を悪用によってコード実行の可能性のあるものとして分類した。

 古いバージョンを使っているWindowsユーザーは、サポート期限がまもなく切れることにも注意すべきだ。サポート期限が切れると、セキュリティパッチは提供されなくなる。

  • Windows XP Service Pack 2は、2010年7月13日以降はサポートされない。Microsoftの顧客の多くがまだこのバージョンを使用しており、Service Pack 3かWindows 7へ出来るだけ早くアップグレードするよう推奨されている。
  • Windows 2000に対する延長サポートも、2010年7月13日で期限が切れる。この日以降、MicrosoftはWindow 2000に対してセキュリティアップデートやその他のアップデートを提供しない。

この記事は海外CBS Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。原文へ

ZDNET Japan 記事を毎朝メールでまとめ読み(登録無料)

ホワイトペーパー

新着

ランキング

  1. セキュリティ

    警察把握分だけで年間4000件発生、IPA10大脅威の常連「標的型攻撃」を正しく知る用語集

  2. セキュリティ

    まずは“交渉術”を磨くこと!情報セキュリティ担当者の使命を果たすための必須事項とは

  3. セキュリティ

    「2024年版脅威ハンティングレポート」より—アジアでサイバー攻撃の標的になりやすい業界とは?

  4. セキュリティ

    生成AIを利用した標的型攻撃とはどのようなものなのか?実態を明らかにして効果的な対策を考える

  5. ビジネスアプリケーション

    Microsoft 365で全てを完結しない選択、サイボウズが提示するGaroonとの連携による効果

ZDNET Japan クイックポール

所属する組織のデータ活用状況はどの段階にありますか?

NEWSLETTERS

エンタープライズコンピューティングの最前線を配信

ZDNET Japanは、CIOとITマネージャーを対象に、ビジネス課題の解決とITを活用した新たな価値創造を支援します。
ITビジネス全般については、CNET Japanをご覧ください。

このサイトでは、利用状況の把握や広告配信などのために、Cookieなどを使用してアクセスデータを取得・利用しています。 これ以降ページを遷移した場合、Cookieなどの設定や使用に同意したことになります。
Cookieなどの設定や使用の詳細、オプトアウトについては詳細をご覧ください。
[ 閉じる ]