Microsoft、6月の月例更新は深刻度の高い修正が目白押し

Microsoft (NASDAQ:MSFT) は12日、6月の月例更新を実施した。今回公開したセキュリティ情報は6件で、深刻な内容の更新が満載だ。具体的な内訳を見ると、深刻度が最大の「緊急」となっているものが4件、その次の「重要」となっているものが1件、そして下から2番目の深刻度「警告」となっているものが1件だ。Microsoft が、これらセキュリティ情報のパッチで対応した脆弱性の数は15件に及ぶ。

Microsoft の月例更新に先立ち、攻撃者らは悪事を働くチャンスを逃さぬよう、メールに埋め込んだリンクをうっかりクリックする不用心者がいることを期待して、Microsoft のセキュリティ情報と偽るスパムメールを大量に撒き散らしていた。そのメール経由で何かを入手したとしても、それはパッチではなく、トロイの木馬や何らかの悪質プログラムだ。

SANS Internet Storm Center は8日、偽セキュリティ情報メールに関する情報を掲載した。その手口は Microsoft からのメールを装い、最新のパッチをインストールするために、リンクをクリックするよう求めるという、古くさいものだった。ただし、リンク先にパッチなど存在しない。

Eメールセキュリティ技術会社 AppRiver の研究アナリスト Fred Touchette 氏は取材に対し、「(Microsoft の) アドレスを詐称しているため、一般の人にとってはかなり説得力がある」と述べ、次のように語った。「Microsoft から来たように見える。Microsoft が Eメールでパッチを行なわず、自動更新機能を使うことは、誰もが分かっているはずだが、攻撃者らにとっては、ごく少数の人が餌に食い付けば、それで十分に成功といえる」

今回の月例更新で公開したセキュリティ情報のうち、もっとも深刻度が低かった「MS07-032」は、情報漏洩に繋がる『Windows Vista』の脆弱性に対応するものだ。具体的には、レジストリおよびファイルシステムに存在するローカルユーザーの「情報データストア」に対するデフォルトのアクセス権を修正した。このパッチを適用しない場合、攻撃者がローカルユーザーのアカウント情報を知っていれば、特権がなくとも管理者パスワードなどの機密性の高い情報にアクセスできてしまう。

ほかにも Microsoft は、各種『Windows』をはじめ『Internet Explorer』(IE) など様々なアプリケーションが影響を受ける脆弱性を修正した。

セキュリティ情報「MS07-030」では、デザインツール『Microsoft Visio 2002』と『同 2003』に存在する2件の脆弱性に対応している。同セキュリティ情報の深刻度は、上から2番目の「重要」だ。これらの脆弱性は Visio のファイル処理に起因するもので、細工したファイルを表示した際、メモリ破壊が発生して、攻撃者に遠隔的な任意コード実行を許してしまう。

最後に、深刻度が最大の「緊急」となっているセキュリティ情報を見ていこう。まず「MS07-033」は IE の累積更新で、新たに6件の脆弱性に対応した。次に『Outlook Express』と『Windows Mail』の累積更新「MS07-034」では、4件の脆弱性を修正している。

残りのセキュリティ情報「MS07-031」と「MS07-035」は、遠隔コード実行を許しかねない Windows の脆弱性を修正したもので、いずれも深刻度は最大の「緊急」だ。