Windows 7までにDoS誘発の脆弱性、MSの推奨対策はアップグレード

Windows 7までのWindowsに含まれる「Cryptography API: Next Generation」に脆弱性がある。

[ITmedia]

　Windows 7以前のバージョンのWindowsにDoS（サービス妨害）の脆弱性が存在する。情報処理推進機構とJPCERT コーディネーションセンターが運営するJapan Vulnerability Notesで10月7日に情報が公開された。

　それによると、脆弱性はWindows Vistaから導入された暗号を利用するアプリ開発向けサービスのAPI「Cryptography API: Next Generation（CNG）」に存在する。CNGでBCryptDecryptを処理する際に問題があり、細工された鍵データを処理することで、Windows 7以前のバージョンで稼働するコンピュータが異常終了する可能性がある。

共通脆弱性評価システム（CVSS）バージョン3に基づいてJPCERT コーディネーションセンターが検証した脆弱性の影響評価の結果

　日本マイクロソフトによれば、この脆弱性が悪用された場合の影響は限定的という。悪用手法は、最大でもローカル上のコンピュータから脆弱性のあるコンピュータに攻撃を仕掛けるといったもので、遠隔から悪用することは困難だとしている。

　同社は、Windows 8以降のバージョンのWindowsではこの脆弱性の影響を受けないとし、現在サポートしているWindows 8.1/10へのアップグレードを推奨対策に挙げている。

対策に関するマイクロソフトの情報（Japan Vulnerability Notesより）