MSが月例パッチを公開 - ゼロデイ攻撃発生していたURL処理の問題を解消

マイクロソフトは、11月の月例セキュリティ更新プログラムを公開した。当初の予告どおり、深刻度「緊急」「重要」とされるプログラムがそれぞれ1件づつ提供している。

深刻度が「緊急」とされる脆弱性は、Windows XPやWindows Server 2003にInternet Explorer 7をインストールした場合、WindowsのURIの処理に問題が発生するもので、不正に細工したURLを開いた場合、リモートでコードが実行され、パソコン内のデータにアクセスされたり、データが削除されるおそれがある。

ゼロデイ攻撃も発生しており、同社では10月にアドバイザリを公開し、注意を呼びかけていた。またアドビシステムズでは、PDFファイルに不正なリンクを埋め込まれた場合、同脆弱性の影響を受けるため、独自にアップデートを提供している。

同社によると、Windows XPやWindows Server 2003とIE 7以外の組み合わせで同様の脆弱性は確認していないが、今回の脆弱性は、Windowsのシェル処理上の脆弱性に起因していることから、今回のプログラムを適用することで、IE 7以外のアプリケーションで同様の脆弱性が発生した場合にも、影響も押さえることができるという。

一方、深刻度が「重要」とされるプログラムは、「Windows DNS Servers」の脆弱性を解消するもので、「Windows 2000 Server」「Windows Server 2003」向けに提供される。細工した応答をDNSリクエストに送信することで、「なりすまし」を行ったり、インターネットのトラフィックをリダイレクトされる問題を解消する。

また今月同社では、セキュリティ以外の優先度の高い更新プログラムを3件公開した。

2007年11月のセキュリティ情報
http://www.microsoft.com/japan/technet/security/bulletin/ms07-nov.mspx

マイクロソフト
http://www.microsoft.com/japan/

関連記事：Windows XPとIE 7の組み合わせで脆弱性 - MSがパッチを準備中
http://www.security-next.com/006932.html

（Security NEXT - 2007/11/14 ） ツイート

PR

関連記事

「Apache Tomcat」にアップデート - 脆弱性「MadeYouReset」を解消
「HTTP/2」実装に「MadeYouReset」脆弱性 - DoS攻撃のおそれ
「Exchange Server」のハイブリッド構成に深刻な脆弱性 - MSが定例外アドバイザリ
登録セキスペ試験、2026年度からCBT方式に移行
秘密管理ツール「OpenBao」に脆弱性 - 任意のコード実行が可能に
N-ableのIT管理ツールにゼロデイ脆弱性 - 米当局が悪用に注意喚起
Palo Alto、セキュリティアドバイザリ6件を公開
「Spring Framework」に脆弱性 - アップデートで修正
サイトが閲覧不能に、個人情報流出のおそれも - 筋ジストロフィー協会
LLMキャッシュ管理ツールにRCE脆弱性 - キャッシュ汚染に起因