MSが月例パッチを公開 - ゼロデイ攻撃発生していたURL処理の問題を解消

マイクロソフトは、11月の月例セキュリティ更新プログラムを公開した。当初の予告どおり、深刻度「緊急」「重要」とされるプログラムがそれぞれ1件づつ提供している。

深刻度が「緊急」とされる脆弱性は、Windows XPやWindows Server 2003にInternet Explorer 7をインストールした場合、WindowsのURIの処理に問題が発生するもので、不正に細工したURLを開いた場合、リモートでコードが実行され、パソコン内のデータにアクセスされたり、データが削除されるおそれがある。

ゼロデイ攻撃も発生しており、同社では10月にアドバイザリを公開し、注意を呼びかけていた。またアドビシステムズでは、PDFファイルに不正なリンクを埋め込まれた場合、同脆弱性の影響を受けるため、独自にアップデートを提供している。

同社によると、Windows XPやWindows Server 2003とIE 7以外の組み合わせで同様の脆弱性は確認していないが、今回の脆弱性は、Windowsのシェル処理上の脆弱性に起因していることから、今回のプログラムを適用することで、IE 7以外のアプリケーションで同様の脆弱性が発生した場合にも、影響も押さえることができるという。

一方、深刻度が「重要」とされるプログラムは、「Windows DNS Servers」の脆弱性を解消するもので、「Windows 2000 Server」「Windows Server 2003」向けに提供される。細工した応答をDNSリクエストに送信することで、「なりすまし」を行ったり、インターネットのトラフィックをリダイレクトされる問題を解消する。

また今月同社では、セキュリティ以外の優先度の高い更新プログラムを3件公開した。

2007年11月のセキュリティ情報
http://www.microsoft.com/japan/technet/security/bulletin/ms07-nov.mspx

マイクロソフト
http://www.microsoft.com/japan/

関連記事：Windows XPとIE 7の組み合わせで脆弱性 - MSがパッチを準備中
http://www.security-next.com/006932.html

（Security NEXT - 2007/11/14 ） ツイート

PR

関連記事

ハウステンボスへのサイバー攻撃 - 個人情報流出の可能性
「Chromium」ゼロデイ脆弱性、Macに影響 - 米当局が注意喚起
「Plesk」Linux版に権限昇格の脆弱性 - アップデートで修正
先週注目された記事（2025年12月7日〜2025年12月13日）
ウェブメール「Roundcube」にXSSなど脆弱性 - 更新を強く推奨
【特別企画】最先端企業が直面した「AIセキュリティの盲点」とは？ - 生成AIテーマにカンファレンス
「React」が脆弱性3件を追加修正 - 重大脆弱性の余波に引き続き警戒を
「MS Edge」にアップデート - 「Chromium」のゼロデイ脆弱性に対処
県サイト資料に非公開の個人情報、マスキング未処理 - 静岡県
職員用グループウェアがランサム被害、生徒情報流出か - 向上学園