Duquは主要セキュリティ対策ソフトで対応可能 - 脆弱性パッチは品質重視で開発中

日本マイクロソフトは、11月9日に月例セキュリティ更新プログラムを公開した。今回の月次アップデートで、マルウェア「Duqu」が悪用する脆弱性への対応は見送られた。

問題の脆弱性「CVE-2011-3402」は、TrueTypeフォントの解析処理に存在し、Wordファイルなどへ、細工したフォントを埋め込むことにより攻撃が可能となる。「Stuxnet」の一部ソースコードを含むマルウェア「Duqu」により脆弱性が悪用されていた。

同社ではこうした状況を受け、11月4日にセキュリティアドバイザリを公開。セキュリティ更新プログラムが、開発中であることを明らかにする一方、レジストリの編集により攻撃を回避できるとし、操作を自動化した「Fix it」の提供を開始している。

11月の月例パッチに、同脆弱性の修正プログラムが含まれなかった理由について、同社セキュリティレスポンスチームでセキュリティスペシャリストを務める松田英也氏は、「Duqu」の拡散が限定的であることを挙げている。

同氏は、「品質の確保を重視しつつ開発を進めている。準備が整い次第、提供したい」と語り、定例外で提供する可能性についても言及した。

（Security NEXT - 2011/11/09 ）ツイート