Latest evidence-based health information
Vision

火曜日の重大なパッチの脆弱性は簡単に悪用される

火曜日の重大なパッチの脆弱性は簡単に悪用される
火曜日の重大なパッチの脆弱性は簡単に悪用される

今日は何の日だと思いますか?そう、ファット・チューズデー、マルディグラの正式開幕です。そして、またしてもパッチ・チューズデーでもあります。朗報は、セキュリティ情報は3件だけで、そのうち「緊急」と評価されているのは1件だけということです。残念なのは、この「緊急」レベルの脆弱性は攻撃者にとって非常に簡単に悪用されてしまうということです。

今月の主な懸念事項は、2つの別々の脆弱性に対処するMS11-015です。セキュリティ情報では、より深刻な脆弱性が悪用され、攻撃者がリモートで悪意のあるコードを実行できる可能性があると説明されています。幸いなことに、この脆弱性を悪用するにはユーザー側で何らかの操作を行う必要があります。しかし、ビデオクリップを狙ったソーシャルエンジニアリング攻撃は一般的であり、比較的成功率が高いケースも少なくありません。

「今月唯一の重大な問題であるDVR-MSの脆弱性は、攻撃者にとって比較的容易に悪用できるでしょう」と、シマンテック・セキュリティ・レスポンスのセキュリティインテリジェンスマネージャー、ジョシュア・タルボット氏は述べています。「また、この脆弱性により、攻撃者は標的のコンピュータ上で悪意のあるコードを実行するために必要な従来の手順のいくつかを省略することができます。これは、Windows Media PlayerとMedia CenterがDVR-MSファイルを処理する際に、これらのファイル自体のデータを使用して、メモリ内のどのコードを実行するかを決定するためです。これにより、攻撃者は悪意のあるコードを直接実行できるようになります。」

3月の残りの2つのセキュリティ情報については、特に注目すべき点はありません。nCircleのセキュリティ研究開発担当テクニカルマネージャー、Tyler Reguly氏は、「DLLプリロードはあまりにも退屈で、もはや話題にする価値もありません」と述べています。

パッチチューズデーのラインナップに含まれていない注目すべき点は、1月下旬に発見されたMHTMLの脆弱性に対する修正です。通知期間が短かったため、先月のパッチチューズデーのアップデートには含まれないと予想されていました。しかし、バグの分析とパッチの開発に1ヶ月以上かかったため、今回はMicrosoftが問題を解決すると期待されていました。

nCircleのセキュリティオペレーションディレクター、アンドリュー・ストームズ氏は、4月にはパッチやアップデートが再び大量にリリースされる可能性があると指摘しています。「CanSec WestのPwn2ownハッキングコンテストも今週後半に予定されており、このコンテストではInternet ExplorerやWindows 7 Phoneの興味深いセキュリティバグが次々と発見されることが多いです。」

いつものように、Microsoftがセキュリティ情報を2件リリースする場合でも12件リリースする場合でも、Microsoftとセキュリティ専門家は、適用可能なパッチとアップデートをできるだけ早く適用することを推奨しています。ゼロデイ脆弱性に対する攻撃は注目を集めますが、マルウェアは、ベンダーが既にパッチを適用しているにもかかわらず、顧客がアップデートを適用していない既知の脆弱性を狙うことも少なくありません。

Otpoo

Health writer and researcher with expertise in evidence-based medicine and healthcare information.