Microsoftは、「Windows」に存在する未知の脆弱性について公開されれば、素早く反応してきた。
米国時間8月27日に、SandboxEscaperと名乗るTwitterユーザーが、Twitter上で脆弱性の存在について公開した。同ユーザーは、この脆弱性の概念実証コードが掲載されているとみられるGitHubのページへのリンクを公開している。
8月28日には、今回の情報が公開されたことを受けて、CERT/CCの脆弱性アナリストWill Dormann氏がこの不具合について検証し、このゼロデイ脆弱性は「完全にパッチを適用した64ビット版のWindows 10システムで有効に機能する」と発言している。
今回の脆弱性は、Windowsのタスクスケジューラに存在する「Advanced Local Procedure Call（ALPC）」の処理の不具合によって、ローカルで権限が昇格される可能性があるセキュリティホールだと説明されている。
この脆弱性が悪用されると、ローカルユーザーがシステムの特権を獲得できる恐れがある。ALPCはローカルシステムであるため、影響範囲は限定的だが、ゼロデイ脆弱性が公の場で暴露されたことは、Microsoftにとって頭痛の種になっている可能性が高い。
この脆弱性のCVSSスコアは6.4～6.8の間だと評価されている。現時点で解消策は不明だという。
Microsoftはこのゼロデイ脆弱性の存在を認めている。
Microsoftが定例外アップデートを行うと決定しなければ、この問題の修正は、9月11日に予定されている次回の月例パッチで提供されることになるとみられる。
Microsoftの広報担当者は、米ZDNetの取材に対して次のように回答した。
Windowsには報告されたセキュリティについて調査するという顧客に対する責務があり、影響を受けるデバイスに、できるだけ早く、積極的にアップデートを提供している。わが社の標準ポリシーでは、現行の月例セキュリティ更新プログラムを通じてソリューションを提供することになっている。
この記事は海外CBS Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。
