Browse by Tags

皆さん、こんにちは！今年最後の月例セキュリティ情報の公開が終わりましたので、簡単ではありますが振り返りをしたいと思います。 概要 2014 年の対応実績は、以下の通りです。2013 年は 106 件のセキュリティ情報を公開し、333 件の脆弱性の対処を行っていることから、比較するとセキュリティ情報の公開数は減少しましたが、脆弱性の対処数は、若干増えています。 85 件のセキュリティ情報を公開 (MS14-001 〜 MS14-085) 341 件の一意の脆弱性 (CVE) を対処 定例外のリリースとして以下の 2 つを公開 5 月に MS14-021 (Internet...

マイクロソフトのセキュリティ更新プログラムは多い印象があるという声を耳にします。今回は改めて、マイクロソフトのセキュリティ更新プログラムの公開プロセスやこれまでの歩みについてまとめてみます。 毎月 1 回「パッチ」の日 マイクロソフトは、毎月第 2 火曜日 (米国時間) に セキュリティ情報 (セキュリティ更新プログラム) を公開しています。ひと月はあっという間に過ぎ、また今月も新しいパッチが…と、管理者にとっては絶え間なく感じるかもしれません。数で見ると、2013 年は計 106 件 (月平均 9 件)、2014 年は 7 月までで 42 件 (月平均 6...

[2014/6/18 14:50 追記] セキュリティ アドバイザリ 2974294 の日本語ページを公開しました。 本日マイクロソフトは、セキュリティ アドバイザリ 2974294「 Microsoft Malware Protection Engine の脆弱性により、サービス拒否が起こる 」を公開しました。 ※ 日本語訳は現在準備中です。公開次第、こちらのページでお知らせします。上記リンクをクリックすると、英語ページにリダイレクトされます。 このアドバイザリでは、Microsoft Antimalware 製品で使用される Microsoft Malware...

2014/5/2 更新： 本Internet Explorer の脆弱性に対処するセキュリティ更新プログラムを セキュリティ情報 MS14-021 として公開しました。詳細は、 こちらの投稿 をご覧ください。 ----------------------------------------------------------------- 本脆弱性に関し、お客様からの疑問や不安の声も多く寄せられたため、現時点で判明している事実をもとに、お客様から寄せられた疑問に Q&A 形式で回答しています。回避策については、 [回避策まとめ] セキュリティ アドバイザリ 2963983 –...

2014/5/2 更新： 本Internet Explorer の脆弱性に対処するセキュリティ更新プログラムを セキュリティ情報 MS14-021 として公開しました。詳細は、 こちらの投稿 をご覧ください。 ---------------------------------------------------------------------------- このブログでは、セキュリティ アドバイザリ 2963983「 Internet Explorer の脆弱性により、リモートでコードが実行される 」で説明している脆弱性について、ユーザー別に推奨する回避策を記載しています。このブログでは...

本記事は、Microsoft Security のブログ “ Microsoft Services unaffected by OpenSSL "Heartbleed" vulnerability" (2014 年 4 月 10 日公開) を翻訳した記事です。 信頼できるコンピューティング ディレクター トレーシー・プレトリウス 2014 年 4 月 8 日 (米国日付) に、セキュリティ研究者たちは、顧客データを保護するために多くの Web サイトで使用されている OpenSSL の暗号化ソフトウェア ライブラリに不具合があることを発表しました...

皆さん、こんにちは！関東地方では、雪が降るとの予報がでていますが、今日はとても寒いです。仕事も私生活もイベントが多く何かと忙しい時期でもありますので、体調管理には十分ご注意くださいね。さて、今回は、今年最後の月例セキュリティ情報の公開が終わりましたので、簡単ではありますが振り返りをしたいと思います。 概要 2013 年は、全 106 件のセキュリティ情報 (MS13-001 〜 MS13-106) を公開しました。なお、これらの 106 件のセキュリティ情報で 333 件の一意の脆弱性 (CVE) の対処を行いました。また、定例外 [i] のリリースとして、MS13-008 (Internet...

小野寺です 本日は通常のセキュリティ情報をリリース日ではありませんが、昨日お伝えした通り、セキュリティ情報 (緊急 1件)を公開しました。 MS08-067: Server サービスの脆弱性により、リモートでコードが実行される (958644) http://www.microsoft.com/japan/technet/security/bulletin/MS08-067.mspx 今回対応した脆弱性は、ファイル共有などをになっている Server サービスに存在し、139/TCP, 445/TCPで不正に細工された悪意のある通信パケットを受信することで、システムを完全に掌握される可能性があります...

2013 年 11 月 28 日、 セキュリティ アドバイザリ 2914486 「Microsoft Windows カーネルの脆弱性により、特権が昇格される」を公開しました。 Windows XP および Windows Server 2003 のカーネル コンポーネントの脆弱性に関するレポートについて調査を行っています。Windows Vista 以降の Windows は、この脆弱性の影響はありません。 Microsoft Active Protections Program (MAPP) メンバーの 1 社が、サードパーティ製品のリモートでコードが実行される脆弱性により危険にさらされているシステムで...

事前通知でお伝えした通り、セキュリティ情報 計2件 (緊急 2 件)を公開しました。 また、 ワンポイント セキュリティ (2010/5/12　午後公開予定)では、適用優先順情報や一覧性の高い回避策等の情報を提供しています。 セキュリティ情報 (新規): 概要情報、展開に関する情報、および脆弱性悪用指標(Exploitability Index)を、以下のサイトにまとめています。 http://www.microsoft.com/japan/technet/security/bulletin/ms10-may.mspx MS10-030 (Windows Mail): 攻撃者が用意した...

小野寺です 今月は、事前通知からの変更はなく、予定通り、 計 4 件 (緊急 4 件)を公開 しました。 セキュリティ情報 (新規): MS08-052 (GDI+): 再配布可能な画像処理ライブラリである GDI+ (gdiplus.dll) で提供する幾つかの画像処理方法に問題があり対策を施しています。このモジュールが再配布モジュールという性質かつ、これに由来するコードを多くの製品で共有している関係で複数の製品に影響範囲が及んでいます。 まず、GDI+ は、Windows XP 以降は、OSの標準モジュールです。Windows 2000では、アプリケーションと共に配布される追加モジュール扱いです...

事前通知でお伝えした通り、セキュリティ情報 計11件 (緊急 5 件, 重要 5件, 警告 1件)を公開しました。 また、 ワンポイント セキュリティ (2010/4/14　午後公開予定)では、適用優先順情報や一覧性の高い回避策等の情報を提供しています。 セキュリティ情報 (新規): 概要情報、展開に関する情報、および脆弱性悪用指標(Exploitability Index)を、以下のサイトにまとめています。 http://www.microsoft.com/japan/technet/security/bulletin/ms10-apr.mspx MS10-019 (WinTrust...

本日、 SSL (Secure Sockets Layer) 3.0 および TLS (Transport Layer Security) 1.0 の脆弱性について説明した マイクロソフト セキュリティ アドバイザリ 2588513 を公開しました。 このアドバイザリでは、 SSL および TLS に存在する情報漏えいの脆弱性の説明と、その回避策となるガイダンスを提供しています。この脆弱性は、 Windows オペレーティング システムに特化した問題ではなく、 HTTPS プロトコル自体に影響を及ぼすものです。攻撃された場合、 HTTPS セッションの Cookie 情報などが傍受されます...

小野寺です。 「 Internet Explorer 6の悪用事例を確認 (セキュリティ アドバイザリ 979352) 」でお伝えしている、Internet Explorer 6が悪用された件ですが、セキュリティ更新プログラムを、定例外リリースします。 具体的な公開時期については、日本時間の明日に改めてお知らせしますので、しばらくお待ちください。 また、引き続き、セキュリティ更新プログラムのリリースまでの間の緩和策の一つとして、 Internet Explorer 8 への移行を推奨しています。

小野寺です。 株式会社インターネットイニシアティブ (IIJ) から、興味深いレポートが公開されました。 http://www.iij.ad.jp/development/iir/ ISPの視点で、顧客であるインターネット利用者を保護するために、インシデントにどの様に対応していったかがまとめられています。 攻撃を受けたサーバー側や全体的で概略的なレポートは今までも多くありましたが、ISPの立場で詳解されたレポートはあまり多くなく興味深い内容でした。 それにしても、ISPが回線や利用者を守っていくために、これ程までの労力(血と汗？)を費やしている事は知らない訳ではないつもりですが、レポートとして見てみると改めて驚かされます...

小野寺です。 先日お伝えしたとおり、本日 Internet Explorer の脆弱性に対処するセキュリティ更新プログラムの提供を開始しました。 Microsoft Update または 自動更新を通じて、提供中のセキュリティ更新を全て適用する事を強く推奨します。 http://update.microsoft.com/microsoftupdate/ 今回の脆弱性と、セキュリティ更新プログラムに関する詳細は、以下のセキュリティ情報を見てください。 MS08-078: Internet Explorer 用のセキュリティ更新プログラム (960714) http://www.microsoft...

先週の事前通知でお知らせしましたとおり、新規セキュリティ情報 合計 10 件 (緊急 2 件、重要 8 件) を公開しました。また、今月の「 悪意のあるソフトウェアの削除ツール 」では、新たな脅威ファミリ 3 件に対応しています。 お客様は 可能な限り早期にセキュリティ更新プログラムをインストールするようお願いします。 適用に優先順位を設定する必要がある企業ユーザーのお客様は、 MS13-037 (Internet Explorer)、 MS13-038 (Internet Explorer) および MS13-039 (HTTP.sys) を優先的に適用いただくことを推奨します。なお...

本日、マイクロソフトは、 Duqu マルウェア (英語情報) に関連する Windowコンポーネント、TrueType フォント解析エンジンの脆弱性に関する新しい セキュリティ アドバイザリ 2639658 を公開しました。このアドバイザリでは、Windows システムへの回避策を自動化した Microsoft Fix it ソリューションを提供しています。この Microsoft Fix it ソリューションは サポート技術情報 2639658 (日本語訳は現在準備中です) からご利用可能です。 現時点では、この脆弱性を悪用した標的型攻撃は限定的であり、お客様への影響も低いと考えます。しかし今後の脅威に備え...

小野寺です 2009年7月のセキュリティ情報は、事前通知からの変更はなく予定通り、計 6 件 (緊急 3件, 重要 3件)となります。 合わせて、セキュリティ アドバイザリを 2件を更新しています。 セキュリティ情報 (新規): 概要情報、展開に関する情報、および脆弱性悪用指標(Exploitability Index)を、以下のサイトにまとめています。 http://www.microsoft.com/japan/technet/security/bulletin/ms09-jul.mspx 毎月のリリースに合わせて提供している、ワンポイントセキュリティ情報は、以下のサイトと...

小野寺です。 DNS の脆弱性について さて、まずはDNS関係から触れたいと思います。7/9 にDNSの脆弱性に対処するために MS08-037 を公開しました。この段階で具体的な攻撃手法は発見者の協力と、世界中のCERT (CERT/CC や JPCERT/CC ) を通じたDNSを実装する他のベンダーとの調整により、伏せられてきました。 8月上旬のセキュリティカンファレンスで発見者が発表するという話にはなっていましたが、ひと月間の適用猶予が存在したはずでした・・・・ ですが、この脆弱性の詳細が、事故なのか、意図的なのかはわかりませんが、とあるブログサイトに書かれてしまいました。...

本日、 Internet Explorer のセキュリティ アドバイザリ 2488013 を公開しました。 Internet Explorer 6 、 7 、および 8 を使用するユーザーが影響を受け、悪意のある Web サイトを訪問した場合にリモートでコードが実行される可能性があります。この脆弱性の情報は一般に公開されていますが、マイクロソフトではこの脆弱性を悪用した攻撃は現時点では確認していません。 対象の製品をお使いのお客様は、アドバイザリ 2488013 に記載の緩和策および回避策をご確認のうえ、適宜対応を検討してください。なお、 IE 7 および 8 では既定で ���護モード が有効なため...

小野寺です。 8月のワンポイントセキュリティを公開しました。 2008年8月のワンポイントセキュリティ情報は、 過去のワンポイント セキュリティ情報 のサイトより、フルサイズ版・縮小版ビデオや音声版ダウンロードファイルでご利用可能です。 最新のワンポイント セキュリティ情報は、 今月のワンポイント セキュリティ情報 からご視聴いただけます。

小野寺です 先ほど、定例外のセキュリティ情報の事前通知を公開しました。 http://www.microsoft.com/japan/technet/security/bulletin/ms08-oct-ans.mspx Windowsに関するリモートでコードが実行できる可能性ある脆弱性が発見され、11月の定期公開日を待たずに対応する必要があると判断したため、今回の定例外リリースとなりました。 Windows 2000, Windows XP および Windows Server 2003 は、深刻度は緊急、Windows Vista および Windows Server 2008...

小野寺です。 本日、Security Development Lifecycle (SDL) Guidance が公開されました。 http://www.microsoft.com/downloads/details.aspx?FamilyID=2412C443-27F6-4AAC-9883-F55BA5B01814&displaylang=en 思い起こせば、2001年の頃に始まった SD3+C (Secure by Design, by Default and in Deployment + Communication)が、発展して SDL になりました。 現在の形になるまで...

先週の事前通知でお伝えした通り、セキュリティ情報 計 5 件 ( 重要 5 件) を公開しました。9 月は、Windows、Office クライアントおよび Office サーバー製品などがセキュリティ更新プログラムの適用対象になります。 ■ 2011 年 9 月のセキュリティ情報: 各セキュリティ情報の概要、各脆弱性の悪用可能性指標 (Exploitability Index)、更新プログラムのダウンロード先などがご覧いただけます。 http://technet.microsoft.com/ja-jp/security/bulletin/ms11-sep ■ Office バージョンによって適用が必要なセキュリティ更新プログラムの数が異なるため注意...