Windowsの「Jet DBエンジン」にゼロデイ脆弱性 - 報告後120日経過、ZDIが公表

同脆弱性がZDIによってMicrosoftへ報告されたのは5月18日。Microsoftも脆弱性であることを確認した。その後9月9日にMicrosoftより連絡があり、修正において問題が見つかり、9月の月例セキュリティ更新で対応が行われない可能性があるとの報告を受けたという。

「Jetデータベースエンジン」に関しては、9月の月例セキュリティ更新でバッファオーバーフローの脆弱性「CVE-2018-8392」「CVE-2018-8393」が修正されているが、いずれも今回指摘した脆弱性とは異なるものであることをZDIが確認した。

報告後120日が経過するも未修正の状態が続いており、事前の通知を経てZDIが独自に定める公開ポリシーに基づいて脆弱性を公表。「実証コード（PoC）」もGitHub上で公開されている。