今週初め、Microsoftは6月のセキュリティ情報公開（Patch Tuesday）を行いました。34件の脆弱性を修正する10件の新しいセキュリティ情報が公開されるなど、非常に忙しい内容となりました。しかしながら、今月のパッチリストには含まれていなかったものの、深刻な影響を及ぼす可能性のある脆弱性が公表されました。IT管理者は、このリスクを理解し、脅威を軽減し、Windows XPシステムをHCPプロトコルの脆弱性から保護するために、今すぐ行動を起こす必要があります。
Microsoft Security Response Center (MSRC) のブログ投稿では、「Windows XP および Windows Server 2003 に影響を及ぼす、公開されている脆弱性を認識しています。現在、この問題を悪用した事例は確認されておらず、Windows Vista、Windows 7、Windows Server 2008、および Windows Server 2008 R2 をご利用のお客様は、この問題の影響を受けず、攻撃を受けるリスクもありません」と説明されています。 [強調は Microsoft によるもので、筆者によるものではありません]
nCircleのセキュリティオペレーション担当ディレクター、アンドリュー・ストームズ氏はメールで次のようにコメントしています。「マイクロソフトは今年、毎月ゼロデイ攻撃に見舞われています。エンタープライズセキュリティ標準の業界リーダーである同社にとって、これは非常に残念なことです。セキュリティコミュニティにおける同社の評判にも悪影響を与えています。」
マイクロソフトにとって幸いなことに、Adobeは現在、アプリケーションのセキュリティが甘いという象徴的な存在となっているため、通常はマイクロソフトに向けられるような否定的な報道の一部が、Adobeに向けられている。Adobe FlashとAdobe Readerに最近発生したセキュリティ上の欠陥により、Adobeは不当な理由でメディアの見出しを飾っている。
ストームズ氏は、「このゼロデイ脆弱性の悪い点は、Windows XPの全ユーザーが影響を受け、この脆弱性によってドライブバイ攻撃が可能になるということです。XPのインストールベースは非常に大きく、一般ユーザーも企業ユーザーもVistaへのアップグレードに非常に消極的であり、ようやくWindows 7への移行を始めたばかりです」と指摘しています。
マイクロソフトは、この問題に適切に対処する時間をもっと与えるべきでした。MSRCのブログによると、「この問題は2010年6月5日にGoogleのセキュリティ研究者から報告され、それからわずか4日後の2010年6月9日に公表されました。影響を受ける可能性のあるお客様の問題を解決する時間を与えずに、この脆弱性の詳細とその悪用方法を公表したことで、広範囲にわたる攻撃の可能性が高まり、お客様を危険にさらすことになります。」
ストームズ氏は、問題のグーグルのセキュリティ研究者であるタヴィス・オーマンディ氏は「自分の行動を雇用主と切り離そうとしているが、マイクロソフトのセキュリティプロセスに否定的な注目を集め続けることで、マイクロソフトとグーグルの間の公然たる火種に油を注いでいるのではないかと疑わざるを得ない」と述べている。
MicrosoftのMSRCブログによると、Microsoftはこの脆弱性に関するセキュリティアドバイザリを発行する予定であり、適切な修正方法の調査を継続しています。その間、Microsoftは脆弱なシステムを保護するための以下の回避策を提供しています。
1. [スタート]をクリックし、[ファイル名を指定して実行]をクリックします。
2. 「regedit」と入力し、「OK」をクリックします。
3. HKEY_CLASSES_ROOTを展開し、HCPキーを強調表示します。
4. HCP キーを右クリックし、[削除] をクリックします。
この回避策は、Windows の HCP プロトコルの登録を解除し、hcp:// を使用するすべてのローカルの正規のヘルプリンクを無効にします。例えば、コントロールパネルのリンクが機能しなくなる可能性があります。
nCircleのStorms氏は、IT管理者にとってますます明白になるであろうことを述べて、この件を総括しました。「XPからのアップグレードを迷っているユーザーは、過去6ヶ月間のセキュリティ情報をすべてよく確認する必要があります。そこに掲載されている情報は、今後の検討材料となるはずです。」
TonyのFacebookページをフォローするか、 [email protected]までメールで連絡を取ることができます 。また、 @Tony_BradleyPCWとしてもツイートしています。
Twitter で Tech Audit をフォローしてください。
