10月のマイクロソフトセキュリティ更新を確認する

　マイクロソフトは13日、10月の月例セキュリティ更新プログラム（修正パッチ）をリリースし、セキュリティ情報を公開した。

　今月公開されたセキュリティ更新は16件で、この更新によりWindowsやInternet Explorer（IE）、Office、.NET Frameworkなどに関連する合計49件の脆弱性を修正する。

　49件の脆弱性のうち、深刻度が最も高い“緊急”のものは6個のみだ。34件は3つのセキュリティ更新に含まれており、今月は比較的軽微な脆弱性の修正が多い点が特徴だ。

　また、ゼロデイ脆弱性については、ウイルス「Stuxnet」で使用された、Win32kのキーボードのレイアウトの脆弱性（CVE-2010-2743）が、「MS10-073」で修正されている。

　ただし、今月はWindowsやOfficeなどの脆弱性以外に、普段はあまり見られないMFCや.NET Frameworkといったプラットフォーム系のソフトが対象になっている点にも注意しておくべきだろう。MFCとは「Microsoft Foundation Class」のことで、C++コンパイラなどを使ってプログラミングをする際の基本的なライブラリだ。マイクロソフト以外のソフトにも非常によく使われているため、これに伴って各種ソフトのセキュリティパッチも今後提供される可能性が高い。

　では、今月は深刻度が“緊急”のセキュリティ更新4件について見ておこう。

●MS10-071：Internet Explorer用の累積的なセキュリティ更新プログラム（2360131）

• オートコンプリートの情報漏えいの脆弱性 - CVE-2010-0808
  
• HTMLのサニタイズの脆弱性 - CVE-2010-3324
  
• CSS特殊文字の情報漏えいの脆弱性 - CVE-2010-3325

　「MS10-071」は、IEに関する10件の脆弱性を修正するセキュリティ更新で、うち上記の3件が既に一般に知られている脆弱性だ。ただし、これらはいずれも深刻度は低く、起こりうる悪用は最悪でも情報漏えいとなっており、PC上でリモートコードが実行されるようなことはない。

　一方で、このセキュリティ更新には、深刻度が最も高い“緊急”となっている、「初期化されていないメモリ破損の脆弱性（CVE-2010-3328）」という脆弱性が含まれている。

　この脆弱性は、「IEが、削除されたあるいはまだ初期化されていないオブジェクトをアクセスするために、メモリ破壊を起してしまう」可能性があると説明されている。ウェブ上にこの脆弱性を利用した悪用コードを貼り付けておけば、ユーザーがそれを表示した際に、標的PC上でリモートコードを実行できる。

　また、脆弱性を悪用した場合、コード実行の確実性も高いようで、Exploitability Index（悪用可能性指標）も「1 - 安定した悪用コードの可能性 」とされている。ただし、公開されている情報は少なく、どのオブジェクトにアクセスすればこの脆弱性が悪用可能であるかといった情報も公開されていない。これだけの情報から、この脆弱性を利用するようなコードを作成することは困難であると思われ、情報が出回るまでは悪用コードに活用される可能性は低いと考えてよさそうだ。

　なお、MS10-071については、IE8が対象になっているものも多いことに気を付けた方がいいかもしれない。前述の、「初期化されていないメモリ破損の脆弱性（CVE-2010-3328）」はWindows XPやWindows 7上のIE8で深刻度「緊急」の脆弱性となっており、「HTMLのサニタイズの脆弱性（CVE-2010-3243）」ではIE7には影響は無く、IE8に影響があるとされている。ちなみに、ベータ版がリリースされているIE9では、これらの脆弱性の影響を受けないようだ。

●MS10-076：Embedded OpenTypeフォントエンジンの脆弱性（982132）

　Windows 7/Vista/XPおよびWindows Server 2008 R2/2008/2003と、現在マイクロソフトがサポートしているすべてのOSを対象とする脆弱性に対するセキュリティ更新だ。

• Embedded OpenTypeフォントの整数オーバーフローの脆弱性 - CVE-2010-1883

　このセキュリティ更新では、上記のEmbedded OpenTypeフォントに関する1件の脆弱性を修正する。この脆弱性はこれまで情報が非公開だが、いずれのOSでも深刻度は“緊急”となっているため、警戒が必要だろう。

　悪用のシナリオとしては、特殊な加工をしたフォントデータや、このデータを含むOffice文書を標的PCに読み込ませることで、リモートコード実行が可能になるというものだ。

　悪用可能性指標は、「1 - 安定した悪用コードの可能性」で、悪用コードの実行の確実性は高いのだが、Windows Vista以降のOSではASLRを採用しているため確実性は低くなるとされている。

　ASLRとは、メモリー領域に格納するデータのアドレスをランダム化する技術で、今回のような脆弱性の場合、悪用プログラムが途中で断片化されてしまうため、実行が難しくなる。ただし、この種の仕掛けがあることを悪用プログラムの作者が理解していれば、回避することは不可能ではないため、脆弱性の脅威がまったく無いと考えるべきではないだろう。

●MS10-077：.NET Frameworkの脆弱性（2160841）

• .NET Framework x64 JITコンパイラの脆弱性 - CVE-2010-3228

　このセキュリティ更新では、上記1件の脆弱性を修正する。その名前の通り、64ビットベースのOSおよびItanium basedのWindowsにのみ影響がある脆弱性で、32ビット版のOSには影響はない。

　この脆弱性は、.NET Frameworkにバージョン3.0から追加された、Windows Presentation Foundation（WPF）に関連するものだ。WPFは、非常に高機能なGUI構築用ライブラリで、流行のRIA（リッチインタラクティブアプリケーション）を手軽に作成できる強力なライブラリだ。これにより、XAMLブラウザーアプリケーション（XBAP）という、ウェブアプリケーションとクライアントアプリケーションの両方の機能を組み合わせたようなアプリケーションを作成することができる。

　今回修正された脆弱性は、ユーザーがこのXAMLブラウザーアプリで、ある特殊な加工をされたデータをインターネットから読み込んだ際に、標的PC上で悪用プログラムをリモート実行される可能性があるというものだ。

　ちなみに、悪用プログラムの実行権限は、XAMLブラウザーアプリを実行していたユーザー権限での実行となる。

　ただ、MSRCによれば、ブラウザーにIE8を利用していた場合、インターネットゾーンへのアクセスではこの攻撃が無効になるということだ。

　64ビット版OSのみ、しかもIE8は事実上攻撃の対象外ということで、対象となるPCは限定されそうだが、利用している場合には警戒しておくべきだろう。

●MS10-075：Windows Media Playerネットワーク共有サービスの脆弱性（2281679）

　このセキュリティ更新が対応する脆弱性は、

• RTSPにおける解放後使用の脆弱性 - CVE-2010-3225

という、リアルタイムストリーミングプロトコル（RTSP）に関連するものだ。Windows Media Playerネットワーク共有サービス（wmpnetwk.exe）を実行して、メディアをストリーム受信しているシステムに、特殊な加工をしたパケットを送信することで、標的PC上でリモートコード実行が可能になる。脆弱性情報はこれまで一般には公開されていない。

　Windows Media Playerネットワーク共有サービスは、同一LAN内で音楽データやビデオ、画像などを、PC間やXbox 360などで送信、再生するための仕組みだ。

　ただし、Windows Media Playerネットワーク共有サービスは、基本的に「同一LAN内」（正確には同一サブネット内）で使うもののため、この仕組みを悪用してウイルスのような悪用プログラムを広めようとした場合、感染元PCと感染先PCは同じLAN内に存在しなければならない。悪用は可能ではあるものの、広くインターネット上で悪用されるパターンではなさそうだ。

　なお、Windows 7のProfessionalおよびEnterpriseエディションでは、この機能は無効化されている。また、ワークグループではなく、ドメインに参加しているPCの場合、デフォルトの設定ではこの脆弱性は悪用できない。