2009年7月のPatch Tuesday

Internet Watch 『7月のマイクロソフトセキュリティ更新を確認する 』 より

2009年7月の月例セキュリティ更新の日がやってきました。

今回は、つい最近にもゼロデイ攻撃が確認された DirectShow 及び Video ActiveX コントロールに関するセキュリティ更新が入っています。これらの脆弱性は、未対策のPCで細工されたWebページを閲覧するだけで感染するということですから、早急に対応が必要です。事実、今日は Microsoft Update (Windows Update) にかなり時間がかかり、関心の大きさを感じました。

Intenet Explorer のゼロ・デイ脆弱性

INTERNET Watch 『Video ActiveXコントロールのゼロデイ脆弱性に対応する』 より

Microsoftが昨日、緊急のセキュリティ警告を出しましたが、WindowsXP ユーザは要注意です。

WindowsXP / Windows Server 2003 の Internet Explorer で、細工を施したビデオを閲覧するだけで、自動的に悪意のあるプログラムをダウンロード・攻撃コードを実行するということです。

セキュリティ・パッチはまだ開発中とのことですが、この攻撃をくい止めるためのレジストリ更新を自動的に行う「FixIt」という仕組みが用意されているので、これで対策を施すことで、ゼロデイ攻撃から WindowsXP を守ることが出来るようです。ちなみに Windows Vista / Windows Server 2008 は、この脆弱性の影響を受けないそうです。

『マイクロソフト セキュリティ アドバイザリ: Microsoft ビデオの ActiveX コントロール脆弱性により、リモートでコードが実行される』

このページにある左側の『FixIt』をクリックすると、Windowsインストーラファイルがダウンロードされますので、これを実行するだけで、今回の脆弱性を回避するレジストリ更新が自動的に行われます。そして、セキュリティ・パッチが開発されてレジストリを元に戻す場合は、右側にある『FixIt』を同様に操作すればOKです。

それにしても、この脆弱性は2007年12月に報告されていたとのこと。すでに1年半も手つかずで、ゼロデイ攻撃に使われてしまったのですね…。