［米国］
マイクロソフト、4種類の“重要”セキュリティ・パッチを7月9日に公開

Windows、SQL Server、Exchangeの問題を修正

（2008年07月04日）

　米国Microsoftは7月3日、合計4件のセキュリティ更新プログラムを米国東部夏時間（EDT）の7月8日の午後1時ごろに公開する予定であることを明らかにした。それらは、Windows、「SQL Server」「Exchange Server」のセキュリティ上の脆弱性を修正するものという。

　この4つの脆弱性はすべて、上から2番目の深刻度レベル「重要（Important）」に分類されている。ただし、Windowsに対するセキュリティ更新プログラムのうちの1つが修正するバグは、悪意のコードのリモート実行に攻撃者が利用するおそれがあるものであり、従来、Microsoftが一般的には「緊急（Critical）」に分類してきた類の脆弱性だ。

　いつものMicrosoftのセキュリティ情報の事前通知と同様、今回の事前通知も、来週公開するセキュリティ更新プログラムについて、問題の深刻度と、影響を受けるソフトウェアのリストを示しているが、詳細は明かしていない。

　米国nCircle Network Securityのセキュリティ・オペレーションズ担当ディレクター、Andrew Storms（アンドリュー・ストームズ）氏は、「実は、このいずれも私のレーダーには引っかかっていなかった。（これらのセキュリティ情報の）多様で興味深い内容に、今、かなり当惑しているところだ」と告白した。

　Windowsに関する2件のセキュリティ情報のうち、一方は、Windows 2000とWindows XPの脆弱性にパッチを当てるもので、最近リリースされたXPのService Pack 3（SP3）も対象に含まれるが、Windows Vistaには関係していない。もう一方は、Windows Vistaの脆弱性にパッチを当てるもので、Vista SP1も対象に含まれるが、旧バージョンには関係していない。

　このVistaのバグのほうが、Storms氏の目を引きつけたようだ。Microsoftが今回、その影響はリモートでコードが実行されることだと記述しているのに、深刻度は「緊急」ではなく「重要（Important）」に分類していたからだ。リモートでコードが実行されるという記述がされるのは、クラッカーがPCをハイジャックできるような深刻な脆弱性のときだけである。

　「私ならば、その種のバグは“緊急”ととらえる。ユーザーに何らかの操作をさせなくても悪用できてしまう脆弱性だけをMicrosoftが“緊急”に分類しているのは、やや基準が厳しすぎるようだ」とStorms氏は指摘している。

　一方、Microsoftは、SQL Serverの脆弱性とExchangeの脆弱性については、いずれも特権の昇格が起こる可能があると述べている。そして、SQL Serverの脆弱性を修正する更新プログラムは、Windows Server 2003/2008、Windows 2000、そして現在サポート中である全バージョンのSQL Serverを対象に提供されるとしている。また、Exchangeの脆弱性を修正する更新プログラムは、Exchange Server 2003/2007の両バージョンが対象になるとしている。

　Storms氏は、Microsoftが事前通知に含めた、SQL ServerとExchange Serverの脆弱性に関する詳細情報の量にも当惑したとしている。同氏は、そのSQL Serverの脆弱性が「WMSDE」（Windowsクライアント・ソフトウェアに追加されたSQLエンジン）と「WYukon」（Windowsサーバ・ソフトウェア内のSQLエンジン）の両方に影響することをMicrosoftが示していることを挙げ、「これが（脆弱性についての）手がかりなのかどうか、それとも、単に同社が情報の扱いに無頓着になってきているのか、判断しかねる」とコメントした。

　なお、今回、Microsoftは、2006年に初めて報告され、最近再び注目を集めることになった「Internet Explorer（IE）」の脆弱性パッチは予定していないようだ。今年5月、セキュリティ研究者のAviv Raf（アビブ・ラフ）氏がこの脆弱性とAppleの「Safari」のバグが組み合わさることでユーザーが危険にさらされると指摘した。同月末にMicrosoftはこの複合的な脅威についてユーザーに警告し、Windows上でのSafari使用を止めることを推奨していた。その後、AppleはWindows版Safariに、同ブラウザのいわゆる「カーペット爆弾」「じゅうたん爆撃」バグを解消するためのパッチを当てた（関連記事）。

　Storms氏は、Microsofが特にそうと明示せずにIEを修正する可能性が少しはあると見ている。投資によると、Microsoftは2007年、IEに対する攻撃に利用されおそれのあったプロトコル・ハンドラのバグに、IEではなくWindowsの修正によって対処したことがあるという。

(Gregg Keizer／Computerworld米国版)