MSが月例更新プログラム11件を公開

Microsoftが対処した11件のうち「緊急」は5件。事前に情報が公開されていた2件の問題にも対処した。

[ITmedia]

　米Microsoftは4月13日、11件のセキュリティ更新プログラムを公開し、全部で25件の脆弱性に対処した。更新プログラム11件の内訳は、深刻度が最も高い「緊急」が5件、2番目に高い「重要」が5件、下から2番目の「警告」が1件となる。

　緊急レベルの5件はいずれもWindowsが対象。このうち3件について、同社は「最優先に導入すべき」としている。Windows Authenticode検証の脆弱性に対処した「MS10-019」と、MPEG Layer-3コーデックの脆弱性に対処した「MS10-026」、Windows Media Playerの脆弱性に対処した「MS10-027」だ。いずれも非公開で報告されたものだった。

　MS10-019の脆弱性は全バージョンのWindowsに影響する。攻撃者がこの問題を悪用した場合、署名付きの実行可能コンテンツ（PE、CAB形式のファイル）を署名を無効にすることなく書き換えることができてしまう。ユーザーのコンピュータが完全に制御されてしまう恐れがあるという。

　MS10-026はWindows 2000／XP、Windows Server 2003／2008に深刻な影響を与える。攻撃者が細工を施したAVIファイルをWebページに仕込み、そのページをユーザーが閲覧しただけでコードを実行されてしまう恐れがある。悪用可能性指標は最高の「1」となっており、安定した攻撃コードが作成される可能性が高い。

　MS10-027も悪用可能性指標が「1」となる。影響を受けるのはWindows 2000／XP。Webサイトに仕掛けられた不正なメディアコンテンツをWindows Media Playerで開いた場合、攻撃者にリモートからコードを実行される恐れがある。

　SMBクライアントの脆弱性に対処した「MS10-020」は、事前に情報が公開されており、Microsoftがアドバイザリーを出して注意を呼び掛けていた問題を含め2件の脆弱性を解決した。「MS10-025」ではWindows Media Servicesの脆弱性を解決。影響を受けるのはWindows 2000 Serverのみとなる。

　5件の重要レベルのうち、「MS10-022」はMicrosoftが事前にアドバイザリーを公開していたVBScriptエンジンの脆弱性に対処するもの。影響を受けるのはWindows 2000／XP、Windows Server 2003となっている。ただしWindows Server 2008／同R2やWindows 7／Vistaには悪用ができないものの、脆弱なコードが存在しているとして、多層防御のために更新プログラムを提供した。

　残る更新プログラムはWindows カーネルの脆弱性（MS10-021）、Office Publisher の脆弱性（MS10-023）、ExchangeとWindows SMTPサービスの脆弱性（MS10-024）、Visioの脆弱性（MS10-028）が重要レベル。Windows ISATAPコンポーネントのなりすましの脆弱性（MS10-029）が警告レベルとなっている。

　なお、カーネルの更新となるMS10-021については、前回のカーネルの更新（MS10-015）でrootkitに感染していたシステムにトラブルが起きた経験を踏まえ、Windowsカーネルのバイナリに異常がある場合やバイナリが改ざんされている場合はエラーメッセージを表示して、更新がインストールされない仕組みを導入したという。

企業向け情報を集約した「ITmedia エンタープライズ」も併せてチェック

過去のセキュリティニュース一覧はこちら