マイクロソフト、9月の修正パッチ9件を公開

　マイクロソフトは15日、月例のセキュリティ更新プログラム（修正パッチ）9件を公開した。修正パッチの内訳は、Windows関連が8件、Office関連が2件（1件はWindowsとOfficeに共通）。最大深刻度は、4段階で最も高い“緊急”が4件、2番目に高い“重要”が5件。各修正パッチにより、合計11件の脆弱性を修正する。

　最大深刻度が“緊急”の修正パッチは、「MS10-061」「MS10-062」「MS10-063」「MS10-064」の4件。マイクロソフトではこのうち「MS10-061」「MS10-062」の2件を、最優先で適用すべきとしている。

　「MS10-061」は、印刷スプーラーサービスに関する1件の脆弱性を修正する。特別に細工された印刷リクエストを送信することで、任意のコードを実行させられる危険がある。この脆弱性は、Kaspersky LabsとSymantecとの調査により、既にマルウェア「Stuxnet」で悪用されていることが判明している。影響を受けるOSは、Windows 7/Vista/XPおよびWindows Server 2008 R2/2008/2003。

　「MS10-062」は、MPEG-4コーデックに関する1件の脆弱性を修正する。特別な細工をされたメディアファイルを開くか、ストリーミングコンテンツを再生した場合などに、任意のコードを実行させられる危険がある。影響を受けるOSは、Windows Vista/XPおよびWindows Server 2008/2003。

　「MS10-063」は、Unicodeスクリプトプロセッサに関する1件の脆弱性を修正する。脆弱性が悪用された場合、特別に細工された文書や、Embedded OpenTypeフォントをサポートするアプリケーションでウェブページを表示した場合に、任意のコードを実行させられる危険がある。影響を受けるソフトは、Windows Vista/XPおよびWindows Server 2008/2003、Office 2007/2003/XP（2002）。

　「MS10-064」は、Outlookに関する1件の脆弱性を修正する。ユーザーがオンラインモードでExchangeサーバーに接続している場合、特別に細工されたメールを開くかプレビュー表示をすると、任意のコードを実行させられる危険がある。影響を受けるソフトは、Outlook 2007/2003/2002。

　最大深刻度“重要”の修正パッチとしては、ウェブサーバーのIIS関連の「MS10-065」、リモートプロシージャーコール関連の「MS10-066」、ワードパッドのテキストコンバーター関連の「MS10-067」、Active Directory関連の「MS10-068」、Windowsクライアント/サーバーランタイムサブシステム関連の「MS10-069」の5件が公開された。

　このほか、Exchange ServerのOutlook Web Accessに関する脆弱性について、セキュリティアドバイザリ（2401593）が公開された。Exchange Server 2007 SP2/SP1および2003 SP2に影響のある脆弱性で、対処方法としては、影響を受けないExchange Server 2010/2007 SP3などにアップグレードすることが推奨されている。

●DLLファイル読み込み脆弱性への対処は、今回の修正では含まれず

　また、8月24日にセキュリティアドバイザリが公開された、DLLファイルの読み込みに関する脆弱性については、今回の月例セキュリティ更新では修正パッチの提供は行われなかった。この脆弱性は、文書ファイルなどを開いた際に、そのファイルと同じディレクトリにあるDLLファイルをアプリケーションが読み込んでしまうという問題で、ネットワーク共有などを通じた攻撃や、ZIPファイルなどにDLLファイルを同梱する攻撃などが想定される。

　マイクロソフトによれば、現時点ではこの脆弱性を悪用する攻撃が広がっている兆候は見られないという。また、DLLファイルの読み込み方法の仕様を変更した場合には、動作に影響が出るソフトがあることから、修正パッチという形で対策を提供することが難しい脆弱性だとしている。また、ソフトの開発者に対しても、DLLの読み込み方法を検討するよう呼びかけており、各ソフトが対応を進めている。

　現時点でマイクロソフトがユーザーに対して提供している脆弱性の回避策は、サポート技術情報（2264107）で紹介している各OS用の更新プログラムをインストールし、さらに同じ技術情報に掲載されているツール「Fix it」を適用する形となる。また、攻撃についてはセキュリティ対策ベンダーと連絡を取り合って対処しているため、セキュリティ対策ソフトを最新の状態で使用することを推奨している。