|
|
| Webテクノロジー | 2004年10月13日 00:00 |
|
Microsoft、10月の月例セキュリティ情報は深刻な内容多数 著者: Ryan Naraine オリジナル版を読む ▼2004年10月13日 00:00 付の記事 ■海外internet.com発の記事 Microsoft (NASDAQ:MSFT) は12日、10月の月例セキュリティ情報を公開した。個別のセキュリティ情報件数は、新規が10件だ。今回は全て深刻度が高く、最低でも深刻度は上から2番目の「重要」となっている。 新規10件のうち、『Windows』を対象にしたものは9件、『Office』を対象にしたものが1件だ。深刻度が最大の「緊急」となっているのは、Windows が対象の6件と、Office が対象の1件で、残る3件はその次の深刻度の「重要」だ。 今回新規情報に加え、先月公開した個別セキュリティ情報「MS04-028」を更新し、新たに見つかった、『Windows XP Service Pack 2』(XP SP2) のインストール済み環境で発生し得る問題にも対応した。同セキュリティ情報は、『Windows』『Office』、およびグラフィックス関連ソフトウェアなど多数の製品に存在する、JPEG 処理 (GDI+) の問題に対応しているが、すでに同脆弱性を突く概念実証コードが複数出回っている。このセキュリティ情報の危険度も、最大の「緊急」だ。 以下、10月の月例セキュリティ情報のうち、Windows が対象で、深刻度が最大の「緊急」になっているもの6件をみていくと、中でも最も重要なのは、Web ブラウザ『Internet Explorer』(IE) に存在する複数の脆弱性に対応した、個別セキュリティ情報「MS04-038」だ。こちらも、同情報で対応している脆弱性に対する攻撃が、すでに発生しているため、ただちに更新プログラムを適用するよう、Microsoft は警告している。今回の修正パッチでは、遠隔コード実行を許す可能性のある CSS 処理時のヒープ領域破損、攻撃対象のパソコンにアクセスして任意のコード実行を許す危険性のあるクロスドメイン セキュリティの脆弱性、システムの乗っ取りを許しかねないドラッグ＆ドロップ機能の脆弱性などに対応した。 次に、個別セキュリティ情報「MS04-034」では、Windows が持つ、zip 形式の圧縮フォルダ処理の脆弱性に対応した。同脆弱性により、遠隔コード実行を許す危険があるという。この脆弱性を突いた攻撃に成功すれば、プログラムのインストール、データの表示/変更/削除、あるいは完全な特権を持つ新しいアカウントの作成など、攻撃対象のシステムを完全に制御することが可能として、Microsoft は更新プログラムの即時適用を促している。 また、『Windows Server 2003』の SMTP コンポーネントが持つ、DNS 参照を処理する方法に存在する脆弱性「MS04-035」も、同じく深刻度「緊急」だ。 「MS04-036」は、NNTP コンポーネントの脆弱性により、遠隔コード実行を許す危険のあるもので、こちらも深刻度は「緊急」となっている。上記「MS04-035」と「MS04-036」は、『Microsoft Exchange Server』のユーザーにも影響する。 さらに「MS04-037」は、Windows シェルの脆弱性により、遠隔コード実行を許す問題に対応したものだ。今回の更新プログラムでは、Windows シェルがアプリケーションを起動する方法と、Program Group Converter のリクエスト処理方法に存在した問題を修正した。 深刻度最大の残り1件は、「MS04-032」だ。これは、Windows Management の脆弱性、VDM (仮想 DOS マシン) の脆弱性、Windows カーネルの脆弱性、Graphics Rendering Engine の脆弱性に対応したもので、『Windows NT 4.0』『Windows 2000』『Windows XP』『Windows Server 2003』のすべてのバージョンが対象となる。 |
| トップページ | 画面トップ |
|
||
|
||
|
