悪用多発のゼロデイ脆弱性「Follina」 外部の研究者が危険性指摘、Microsoftの対応巡り批判も：この頃、セキュリティ界隈で（2/2 ページ）

[鈴木聖子，ITmedia]

Microsoftの脆弱性への対応に疑問の声

　今回の問題をきっかけに、脆弱性に対するMicrosoftの全般的な対応に疑問を投げ掛ける声も出ている。セキュリティ企業、米Tenableのアミット・ヨランCEOは「Microsoftの脆弱性対応は顧客を危険にさらす」と題したブログの中で、同社の対応は透明性が欠如していると批判した。

アミット・ヨランCEOの投稿

　「この問題はあまりに重要なので、黙っているわけにはいかないと思った。どれほど多くのセキュリティプロフェッショナルや研究者が弁護士に黙らされたり、自分の声を届けるプラットフォームを持たずにいるかは想像に難くない」とヨランCEOは言う。

　同氏によると、Tenableは3月にAzureの脆弱性2件を発見し、Microsoftに報告した。両方とも悪用可能な脆弱性だったが、Microsoftはリスクは低いと見積もり、このうち1件をひそかに修正したという。

　しかしこれに関してTenableが情報を公開すると告げたところ、Microsoftは最初の連絡から89日たって態度を変え、この問題の重大性を非公式に認めたが、顧客には今に至るまで知らせていないとヨランCEOは主張する。

　「この行動パターンは繰り返されている。脆弱性がユーザーに及ぼすリスクに関するMicrosoftの否定的な態度については複数のセキュリティ企業が記している」とヨランCEOは訴え、パッチ公開前にFollinaの危険性を指摘したセキュリティ各社のブログを例に挙げている。

　「詳しい情報がタイミング良く公開されなければ、顧客は自分たちが攻撃に対して脆弱なのかどうか、パッチが公開される前に被害に遭っていたのかどうかが全く分からない。通知がなければ、自分たちが攻撃されたかどうかの痕跡を探す機会が奪われる。極めて無責任なポリシーだ」（ヨランCEO）

　米メディアThe Recordによると、Tenableが報告したAzureの脆弱性についてMicrosoftは、脆弱性識別番号は顧客側の対応が必要な問題にのみ割り当てているが、この問題は顧客側の対応が不要だったと説明している。

The Recordの記事

　かつてMicrosoftセキュリティチームの一員で、現在はセキュリティ企業のCTOを務めるアーロン・ターナー氏は双方の立場に理解を示す。同氏はThe Recordの取材に対し、責任ある開示のルールはアップデートする必要があると指摘。PaaSやIaaSの中核技術に関しては、調査研究や責任ある開示にまつわるルールをはっきりさせる必要があると語っている。