今日はまたパッチ火曜日です。今年ももう9回目です。Microsoftは5つの新しいセキュリティ情報をリリースし、Adobeも本日独自のセキュリティパッチを公開しました。しかし、脆弱性やアップデートが山ほどあるため、優先順位をつけて、どのパッチが最も緊急なのかを見極める必要があります。
実は、今日は少し拍子抜けです。人為的なミスにより、セキュリティ情報の全文が金曜日に短時間公開されたため、既に4日前から今後の展開が予想されていました。しかし、セキュリティ情報と関連パッチが正式に公開された今、いよいよ詳しく見ていきましょう。
5件のセキュリティ情報は、月間最少とは言えませんが、これまでのパッチ火曜日の集中的なアップデートに比べればはるかに少ないです。さらにユニークなのは、5件のセキュリティ情報すべてが「緊急」と評価されていないことです。MS11-070からMS11-074までの5件のセキュリティ情報はすべて「重要」と評価されています。
「今月のパッチはどれも深刻度が「緊急」ではありませんが、Office の初期化されていないオブジェクトポインタの脆弱性については特に注意を払うよう強く推奨します」と、シマンテック セキュリティ レスポンスのセキュリティインテリジェンスマネージャー、ジョシュア・タルボット氏は述べています。「これはメモリ破損の問題であり、悪用される可能性が非常に高く、非常に一般的なWordファイルを利用してユーザーのコンピュータを攻撃します。」
nCircleのセキュリティ研究開発担当テクニカルマネージャー、Tyler Reguly氏は次のように説明しています。「現在、セキュリティ情報の優先順位付けをするなら、非常にシンプルです。Excel（MS11-072）が最初に適用され、その後に他のセキュリティ情報が適用されます。より重要なパッチ（SharePointとWINS）の中には、特定のソフトウェア構成にのみ適用されるものもあります。」
タルボット氏はさらに、「マイクロソフトが本日リリースしたパッチの数にもかかわらず、先週マイクロソフトが更新したアウトオブバンドのアドバイザリを見逃さないことが重要です。このアドバイザリは、実質的にマイクロソフトによるDigiNotarの各種証明書への信頼を失効させるものです」と強調しています。
nCircleのセキュリティオペレーション担当ディレクター、アンドリュー・ストームズ氏も、DigiNotarの信頼失効の緊急性について同意しています。「マイクロソフトはDigiNotarの証明書に対する警戒を継続しており、DigiNotarのアップデートを新たにリリースします。今回は、DigiNotarに関連する証明書、特に他の証明機関によって相互署名された証明書を『削除』します。DigiNotarに関連するあらゆる情報が消去されます。」
シマンテックのタルボット氏は、「侵害された証明書を悪用した攻撃が実際に発生しているため、このアップデートは、今日のパッチよりも先に、IT 管理者の ToDo リストの最上位に置く必要があるでしょう」と訴えています。
Microsoft の Patch Tuesday は、Adobe のセキュリティ パッチ リリースによってある程度影が薄くなっています。
ストームズ氏は警告する。「おそらく初めてのことかもしれませんが、Adobeは本日早朝、Microsoftのパッチ公開前に13件のCVEを一括公開しました。これは以前の午後遅くの公開に比べると確かに改善されていますが、パッチで修正されるバグに関する情報がほとんどないという点で、依然として『典型的な』Adobeパッチです。残念なことに、これらのパッチのほとんどが、最悪のセキュリティ問題、つまりリモートコード実行につながる可能性があります。」
本日 Microsoft と Adobe がリリースしたパッチを確認し、適切なアップデートを適用してシステムを保護してください。
