Garbage Script on Goo BLOG

某SIerの"元"研究者 兼 情報Security技術者"F.Koryu"の日常の雑記置き場

重要 (Important)も上から2番目なんだけれどねぇ(苦笑)

2009-11-12 13:37:02 | セキュリティ(技術者向け)
とりあえずコレを読んで欲しい。で、MS09-067に関する説明の最後の段落を読んで欲しい。
「表示がされるから危険性は低い」というのは、ソフトウェアの危険性をユーザーに転嫁して解決したことにする、言って見れば作り手の責任回避でしかないと筆者は思うのだがどうだろうか。ちなみに、セキュリティ企業のSecuniaでは、マイクロソフトが深刻度“重要”としている「MS09-067」の危険度を、5段階で上から2番目の「Highly Critical」としている。一方、マイクロソフトが深刻度“緊急”としている「MS09-063」は、Secuniaではワンランク低い「Moderately Critical」と評価している。
(「11月のマイクロソフトセキュリティ更新を確認する(Internet Watch)」より引用(ポイント部分に下線を追加))
で、今度はコッチを見て欲しい。
これでもピーンと来なかったアナタは(ry

……はい、そうです、重要 (Important)もMS側が定義したレーティングに従えば、上から2番目なんだけれどねぇ(苦笑)。
重要(Important)だから軽んじている訳じゃないんですよ、ちゃんとレーティング定義を読めば、実は(緊急(Critical)ほどじゃないにせよ)結構危険なセキュリティホールと認識していると考えられるはずなんですけれどねぇ(※1)。

これが警告 (Moderate)だったら「評価低すぎませんかねぇ、MSさん」と言っても良いかもしれないけれどサ。
---
(※1)と言うより、緊急(Critical)が「あまりにも危険過ぎる」という事で別格なんですが。高中低の三段階評価において、高にも当てはまらないくらいの特別な評価である認識した方が正しい。