2010 年 2 月のセキュリティ情報（情報元のブックマーク数）

IT セキュリティ

さぁ、予定通り13個のパッチが出ています。すごい量です。。。。

セキュリティ情報番号 タイトルおよび概要 最大深刻度および脆弱性の影響 再起動情報 影響を受けるソフトウェア
MS10-006 SMB クライアントの脆弱性により、リモートでコードが実行される (978251)
このセキュリティ更新プログラムは、非公開で報告された 2 件の Microsoft Windows に存在する脆弱性を解決します。この脆弱性で、攻撃者が特別に細工された SMB の応答を起動済みのクライアントの SMB リクエストに送信した場合、リモートでコードが実行される可能性があります。これらの脆弱性が悪用されるには、攻撃者はユーザーに悪意のある SMB サーバーへ SMB 接続を開始させることが攻撃者にとっての必要条件となります。 		緊急
リモートでコードが実行される 		要再起動 Microsoft Windows
MS10-007 Windows Shell ハンドラー の脆弱性により、リモートでコードが実行される (975713)
このセキュリティ更新プログラムは非公開で報告された Microsoft Windows に存在する 1 件の脆弱性を解決します。この脆弱性により、Web ブラウザーなどのアプリケーションが Windows Shell ハンドラーを介して ShellExecute API 機能に特別に細工されたデータを渡した場合、リモートでコードが実行される可能性があります。 		緊急
リモートでコードが実行される 		要再起動 Microsoft Windows
MS10-008 ActiveX の Kill Bit の累積的なセキュリティ更新プログラム (978262)
このセキュリティ更新プログラムは非公開で報告された 1 件のマイクロソフトのソフトウェアの脆弱性を解決します。 この脆弱性では、ユーザーが Internet Explorer で特別に細工された Web ページを訪問し、ActiveX コントロールをインスタンス化した場合、リモートでコードが実行される可能性があります。システムで、アカウントのユーザー権限を低く設定している場合、管理者ユーザー権限で実行しているユーザーよりもこの脆弱性の影響が少なくなると考えられます。 この更新プログラムには 4 つのサードパーティの ActiveX コントロール用の Kill Bit も含まれています。 		緊急
リモートでコードが実行される 		再起動が必要な場合あり Microsoft Windows
MS10-009 Windows TCP/IP の脆弱性により、リモートでコードが実行される (974145)
このセキュリティ更新プログラムは、非公開で報告された 4 件の Microsoft Windows に存在する脆弱性を解決します。これらの脆弱性で最も深刻なものについて、特別に細工されたパケットが IPv6 が有効にされているコンピューターに送信された場合、リモートでコードが実行される可能性があります。攻撃者は、特別に細工した ICMPv6 パケットを作成し、IPv6 が有効にされているコンピューターにそのパケットを送信することにより、この脆弱性を悪用する可能性があります。この脆弱性が悪用される可能性があるのは、攻撃者がリンクに存在する場合のみです。 		緊急
リモートでコードが実行される 		要再起動 Microsoft Windows
MS10-013 Microsoft DirectShow の脆弱性により、リモートでコードが実行される (977935)
このセキュリティ更新プログラムは非公開で報告された Microsoft DirectShow に存在する 1 件の脆弱性を解決します。この脆弱性は、特別に細工された AVI ファイルをユーザーが開いた場合に、リモートでコードが実行される可能性があります。攻撃者がこの脆弱性を悪用した場合、影響を受けるコンピューターを完全に制御する可能性があります。その後、攻撃者はプログラムのインストール、データの表示、変更、削除、または完全なユーザー権限を持つ新たなアカウントを作成する可能性があります。コンピューターで、アカウントのユーザー権限を低く設定している場合、管理者ユーザー権限で実行しているユーザーよりもこの脆弱性の影響が少なくなると考えられます。 		緊急
リモートでコードが実行される 		要再起動 Microsoft Windows
MS10-003 Microsoft Office (MSO) の脆弱性により、リモートでコードが実行される (978214)
このセキュリティ更新プログラムは、特別に細工された Office ファイルをユーザーが開いた場合、リモートでコードが実行される可能性がある Microsoft Office に存在する非公開で報告された脆弱性を解決します。攻撃者がこの脆弱性を悪用した場合、影響を受けるコンピューターを完全に制御する可能性があります。その後、攻撃者はプログラムのインストール、データの表示、変更、削除、または完全なユーザー権限を持つ新たなアカウントを作成する可能性があります。コンピューターで、アカウントのユーザー権限を低く設定している場合、管理者ユーザー権限で実行しているユーザーよりもこの脆弱性の影響が少なくなると考えられます。 		重要
リモートでコードが実行される 		再起動が必要な場合あり Microsoft Office
MS10-004 Microsoft Office PowerPoint の脆弱性により、リモートでコードが実行される (975416)
このセキュリティ更新プログラムは、非公開で報告された 6 件の Microsoft Office PowerPoint に存在する脆弱性を解決します。これらの脆弱性は、特別に細工された PowerPoint ファイルをユーザーが開いた場合、リモートでコードが実行される可能性があります。その後、攻撃者はプログラムのインストール、データの表示、変更、削除、または完全なユーザー権限を持つ新たなアカウントを作成する可能性があります。コンピューターで、アカウントのユーザー権限を低く設定している場合、管理者ユーザー権限で実行しているユーザーよりもこの脆弱性の影響が少なくなると考えられます。 		重要
リモートでコードが実行される 		再起動が必要な場合あり Microsoft Office
MS10-010 Windows Server 2008 Hyper-V の脆弱性により、サービス拒否が起こる (977894)
このセキュリティ更新プログラムは、非公開で報告された 1 件の Windows Server 2008 Hyper-V および Windows Server 2008 R2 Hyper-V の脆弱性を解決します。この脆弱性により、Hyper-V サーバーがホストしているゲスト仮想マシンの一台で、認証済みユーザーがマシン命令を特定のシーケンスで実行した場合、サービス拒否が起こる可能性があります。この脆弱性を悪用する場合、有効なログオン資格情報を所持し、ローカルでログオンできることが攻撃者にとっての必要条件となります。リモートで、または匿名ユーザーにより、この脆弱性が悪用されることはないと思われます。 		重要
サービス拒否 		要再起動 Microsoft Windows
MS10-011 Windows クライアント/サーバー ランタイム サブシステムの脆弱性により、特権が昇格される (978037)
このセキュリティ更新プログラムは Microsoft Windows 2000、Windows XP および Windows Server 2003 の Microsoft Windows クライアント/サーバー ランタイム サブシステム (CSRSS) に存在する 1 件の非公開で報告された脆弱性を解決します。この脆弱性で、攻撃者がコンピューターにログオンし、攻撃者がログオフした後も引き続き実行されるよう設計された特別な細工がされたアプリケーションを起動した場合、特権が昇格される可能性があります。この脆弱性を悪用する場合、有効なログオン資格情報を所持し、ローカルでログオンできることが攻撃者にとっての必要条件となります。匿名ユーザーにより、この脆弱性が悪用されることはないと思われます。 		重要
特権の昇格 		要再起動 Microsoft Windows
MS10-012 SMB サーバーの脆弱性により、リモートでコードが実行される (971468)
このセキュリティ更新プログラムは、非公開で報告された複数の Microsoft Windows に存在する脆弱性を解決します。これらの中で最も深刻な脆弱性では、攻撃者が特別な細工がされた SMB パケットを作成し、そのパケットを影響を受けるコンピューターに送信した場合、リモートでコードが実行される可能性があります。ファイアウォールによる最善策および標準のファイアウォールの既定の構成を使用することにより、組織のネットワーク境界の外部からの攻撃を防ぎ、ネットワークを保護することができます。 		重要
リモートでコードが実行される 		要再起動 Microsoft Windows
MS10-014 Kerberos の脆弱性により、サービス拒否が起こる (977290)
このセキュリティ更新プログラムは非公開で報告された Microsoft Windows に存在する 1 件の脆弱性を解決します。 特別な細工がされたチケット更新のリクエストが信頼されている非 Windows Kerberos 領域に存在する認証されたユーザーから Windows Kerberos ドメインに送信された場合、この脆弱性により、サービス拒否が起こる可能性があります。 サービス拒否は、ドメイン コントローラーを再起動するまで続きます。 		重要
サービス拒否 		要再起動 Microsoft Windows
MS10-015 Windows カーネルの脆弱性により、特権が昇格される (977165)
このセキュリティ更新プログラムは Microsoft Windows に存在する 1 件の公開された脆弱性および 1 件の非公開で報告された脆弱性を解決します。これらの脆弱性により、攻撃者がシステムにログオンして、次に特別に細工されたアプリケーションを実行した場合に、特権の昇格が起こる可能性があります。いずれかの脆弱性が悪用された場合、攻撃者が有効なログオン資格情報を取得し、ローカルでログオンする可能性があります。リモートで、または匿名ユーザーにより、この脆弱性が悪用されることはないと思われます。 		重要
特権の昇格 		要再起動 Microsoft Windows
MS10-005 Microsoft ペイントの脆弱性により、リモートでコードが実行される (978706)
このセキュリティ更新プログラムは非公開で報告された Microsoft ペイントに存在する 1 件の脆弱性を解決します。これらの脆弱性により、ユーザーが Microsoft ペイントを使用して、特別に細工された JPEG の画像ファイルを表示すると、リモートでコードが実行される可能性があります。システムで、アカウントのユーザー権限を低く設定している場合、管理者ユーザー権限で実行しているユーザーよりもこの脆弱性の影響が少なくなると考えられます。 		警告
リモートでコードが実行される 		要再起動 Microsoft Windows
http://www.microsoft.com/japan/technet/security/bulletin/ms10-feb.mspx

はてなキーワード書きました

ということで、小野寺さんによるBlogも出ています。

事前通知でお伝えした通り、セキュリティ情報 計13件 (緊急 5件, 重要 6件, 警告 1件)を公開しました。
合わせて、セキュリティアドバイザリを　1件を新規に公開しています。
また、ワンポイント セキュリティ (2010/2/10　午後公開予定)では、適用優先順情報や一覧性の高い回避策等の情報を提供しています。

2010年2月10日のセキュリティ情報 (月例) – 日本のセキュリティチーム

やっと治ってくれた！！！PowerPointViewerのバージョンが古い件、これで統一されました！

MS10-004 (PowerPoint):
特別な細工がされた PowerPoint ファイルを開くことで、リモートでコードが実行される可能性があります。
このブログを公開した時点では、悪用は確認されていませんが、早期の適用をお勧めします。

2010年2月10日のセキュリティ情報 (月例) – 日本のセキュリティチーム

これは、やらしいなぁ。細工されたコードを実行することでホストまで泊まるのかな？

MS10-010 (Hyper-V):
特別な細工がされたプログラムコードを、ゲスト仮想マシン上で実行する事で、サービス拒否が発生する可能性があります。
悪用は確認されていませんが、早期の適用をお勧めします。

2010年2月10日のセキュリティ情報 (月例) – 日本のセキュリティチーム

１件のセキュリティアドバイザリも出ています。

ワンポイントセキュリティが出ています。さぁ、今月も声萌え〜♪

2010年2月のワンポイント セキュリティ情報を公開しました。
IT管理者向けにセキュリティ更新プログラムの適用優先度に関する情報や回避策など、セキュリティ情報について知りたいポイントをより凝縮してお伝えしています。

2010年2月のワンポイントセキュリティ – 日本のセキュリティチーム

PATCH NOW！は無いもののCRITICALが多いので早めに適用ですね。

Overview of the February 2010 Microsoft patches and their status.

InfoSec Handlers Diary Blog - February 2010 Black Tuesday Overview

XPでMS10-015を適用するとブルースクリーンになる現象が出ているそうです。

We have heard about reports that MS10-015 causes some Windows XP machines to blue screen. If you are seeing this issue, please let us know.
(I am filling in for Deborah on this diary as she is ironically busy dealing with lots of blue screens in her organization, which may be related)
See for example:
http://www.krebsonsecurity.com/2010/02/new-patches-cause-bsod-for-some-windows-xp-users/
and
http://social.answers.microsoft.com/Forums/en-US/vistawu/thread/73cea559-ebbd-4274-96bc-e292b69f2fd1

InfoSec Handlers Diary Blog - MS10-015 may cause Windows XP to blue screen

MS10-015の不具合情報の日本語記事出ました。

SANSのセキュリティ専門家は2月11日、勤務先の社内で多数のPCがブルースクリーン問題に見舞われ、対応を強いられたとSANSのサイトで報告した。Microsoftのユーザーフォーラムにも、この問題についての投稿が殺到している。
SANSの専門家の場合、ブルースクリーンの原因がMicrosoftの更新プログラムにあるらしいと分かり、障害を引き起こしているドライバファイル（.sys）を突き止めてこれを削除したところ、PCは正常に戻ったという。
ただこの会社ではMicrosoftの自動更新機能を無効にしていたため、「Microsoftはアップデートを強制したのか」と問い合わせた。Microsoftからは「自動更新機能が無効になっていれば、アップデートは適用されない」との返答があったといい、現時点で原因は不明のままだという。

MSの更新プログラムでブルースクリーン？ ユーザーから報告相次ぐ - ITmedia エンタープライズ

いつものパッチレビューが出ています。

米Microsoft Security Response Center（MSRC）のブログによれば、エンドユーザーが優先的に適用すべき修正パッチとしては、「MS10-006」「MS10-007」「MS10-008」「MS10-013」「MS10-015」の5件を挙げている。「MS10-015」以外はいずれも最大深刻度が“緊急”で、「MS10-008」以外はExploitability Index（悪用可能性指標）も最も高い「1」とされている。

2月のマイクロソフトセキュリティ更新を確認する - INTERNET Watch Watch

まだブルースクリーンになるという事象だけで、詳細は調査中とのことです。

２月の月例セキュリティリリースで公開したMS10-015を適用すると、ブルースクリーンになる事があるという報告があります。
日本国内では、多くは無いのですが、他国で幾つか報告が上がっています。
この件について、調査を行っており詳細は、追ってこのブログでも報告したいと思います。

MS10-015で再起動やブルースクリーンが発生する件について – 日本のセキュリティチーム

そっちだったんですか・・・特定の種類のrootkitに感染している場合にBlueScreenになってしまっていた模様。

MS10-015 の件ですが、どうやら、特定の種類の rootkit にヤラレていると、 MS10-015 patch (kernel patch です) を適用・再起動した段階で

  • rootkit が想定している kernel 状態と
  • 実際の kernel 状態 (MS10-015 patch に基づく kernel 状態)

との間に不整合が生じて、結果としてブルー画面になるようで。

http://www.st.ryukoku.ac.jp/~kjm/security/memo/2010/02.html20100215_tuiki

公式に情報が出ましたねー＞MS

一部のお客様でMS10-015を適用後に再起動やブルースクリーンが発生する報告があり、引き続き調査を進めています。
これまでの調査では、システム上のマルウェアがこの動作を引き起こすことが分かっています。
その他の原因等の詳細については、調査中ですが、追ってこのブログでも報告します。

[続報] MS10-015で再起動やブルースクリーンが発生する件について – 日本のセキュリティチーム

Alureonルートきっとのせいだそうです。

一部のお客様環境でMS10-015を適用後にブルースクリーンが発生するという報告を確認しており、原因調査の結果、マルウェア (Alureonルートキット)が原因で現象が発生することが分かりました。この予期せぬ再起動は、Alureon ルートキットがWindows カーネルのバイナリを不正に改変することに起因し、それによりシステムが不安定になるために発生します。このAlureon ルートキットは、他社ベンダーがTDSSと名称しているものと同じです。

[続報2] MS10-015での再起動やブルースクリーンは、マルウェアが原因 – 日本のセキュリティチーム

駆除ツールも準備しているそうです。自動配信も来月追加ってことかな？

Microsoft Forefront、Microsoft Security Essentialsを初めとするウイルス対策ソフトを導入していれば、Alureonルートキットがインストールされるような挙動を検知することができますが、Alureon ルートキットが既に動作している場合には、ルートキットがOSの最下層まで潜んでしまうため、検出が非常に困難な状態になります。感染している可能性がある、もしくは感染しているかどうかが不明なお客様のために、マイクロソフトは、既にルートキットが動作しているシステムからAlureonを検出、駆除するツールを現在開発しており、数週間以内に提供予定です。32ビット版システムへの自動配信についてもツールの提供時期を考慮して再開する予定です。

[続報2] MS10-015での再起動やブルースクリーンは、マルウェアが原因 – 日本のセキュリティチーム

マイクロソフトが10日に公開した月例セキュリティ更新プログラム（修正パッチ）「MS10-015」の適用後に、Windowsがブルースクリーン状態になるという報告が寄せられている。マイクロソフトは18日、この現象はマルウェアが原因で発生することが判明したと発表した。
マイクロソフトによると、一部のユーザーから「MS10-015」の適用後にブルースクリーンが発生するという報告を受け、原因を調査した結果、マイクロソフトが「Alureon」と呼ぶrootkitが原因で発生することが判明。AlureonがWindowsカーネルのバイナリを不正に改変することに起因し、これによりシステムが不安定になるため発生するという。Alureonは、KaperskyやSophosでは「TDSS」という名称が付けられている。

「MS10-015」のブルースクリーン問題はマルウェアが原因 -INTERNET Watch Watch

関連URL