Microsoftは米国時間11月18日、定例外のパッチリリースとしてセキュリティ情報「MS14-068」を発表した。「Windows Server Core」などWindowsサーバ版の深刻な脆弱性に対応するものとなる。
この脆弱性（CVE-2014-6324）は、Active Directoryドメイン内のコンピュータやユーザーにセッションチケットおよび一時的なセッションキーを発行するWindows Kerberos Key Distribution Center（KDC）に関係するものだ。悪意ある攻撃者はこの脆弱性を利用して、権限のないドメインユーザーアカウントを昇格して管理者権限を与えることができる。これにより、ドメイン内の任意のコンピュータやユーザーに攻撃できるという。攻撃には有効なドメイン資格情報が必要となる。
Microsoftはまた、「この脆弱性を悪用しようとする限定的な標的型攻撃」を確認していることも明らかにした。
この脆弱性の影響を受けるのは、すべてのサポートされているエディションの「Windows Server 2003」「Windows Server 2008」「Windows Server 2008 R2」「Windows Server 2012」「Windows Server 2012 R2」。また、Windows Server Technical Preview も影響を受ける。
Microsoftはデスクトップ版のWindowsに対しても更新を行う（Windows Technical Previewも含む）。Microsoftはこれを、「既知の脆弱性を修正するものではなく、追加の多層防御」と説明している。ドメインログイン機能のない「Windows RT」は更新の対象外となる。
この脆弱性は、Qualcomm Information Security & Risk ManagementがMicrosoftに通知したものだ。
一方で、先ごろの定例パッチリリースでは発行されなかったMS14-075の配布についての情報はない。この更新はExchange Serverの問題に対応するものとなり、Microsoftは遅れの原因としてインストーラプログラムを挙げていた。
この記事は海外CBS Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。
