Last Updated on 2024-07-08 08:05 by 門倉 朋宏
Microsoftは、Pwn2Own 2024で明らかにされた後、2ヶ月が経過しても7つのWindows特権昇格の脆弱性を修正していない。これらの脆弱性は、様々なWindowsコンポーネントに影響を及ぼし、use-after-freeバグ2つ、TOCTOUバグ、ヒープベースのバッファオーバーフロー、特権コンテキスト切り替えエラー、入力された数量の不適切な検証、レースコンディションを含む。
これらの脆弱性は現在、悪意のあるハッカーによって利用されているという証拠はないが、研究者によって完全に悪用されているため、Trend MicroのZero Day Initiative（ZDI）はこれらを「野生で」と見なしている。Pwn2Ownのルールにより、ベンダーはコンペティション後90日以内にパッチを作成する時間が与えられる。今年のイベントは3月20日から22日に開催されたため、Microsoftはまだ修正のための時間がある。
Microsoftはこれらのバグの正当性と修正に取り組んでいることをZDIとの対話で確認している。しかし、VMware、Oracle、Mozillaはすでにパッチを適用しており、Microsoftだけがまだこれらの問題に対処していない。
【ニュース解説】
MicrosoftがPwn2Own 2024で明らかにされた後、2ヶ月が経過してもまだ7つのWindows特権昇格の脆弱性を修正していないという事実は、セキュリティ業界における大きな関心事となっています。これらの脆弱性は、様々なWindowsコンポーネントに影響を及ぼし、use-after-freeバグ、TOCTOUバグ、ヒープベースのバッファオーバーフロー、特権コンテキスト切り替えエラー、入力された数量の不適切な検証、レースコンディションなど、多岐にわたります。
これらの脆弱性が現在、悪意のあるハッカーによって利用されている証拠はありませんが、研究者によって完全に悪用されているため、Trend MicroのZero Day Initiative（ZDI）はこれらを「野生で」と見なしています。Pwn2Ownのルールでは、ベンダーはコンペティション後90日以内にパッチを作成する時間が与えられます。この期間は、セキュリティの脆弱性を修正するための猶予期間として機能し、同時に研究者とベンダー間の協力関係を促進します。
Microsoftはこれらのバグの正当性と修正に取り組んでいることをZDIとの対話で確認していますが、他の企業と比較して遅れをとっています。VMware、Oracle、Mozillaなどはすでに対応を完了しており、Microsoftだけが未だにこれらの問題に対処していない状況です。
この遅れが示唆するのは、オペレーティングシステムをパッチすることの複雑さと、Microsoftが直面している他のセキュリティ課題の量です。オペレーティングシステムは、その性質上、多くのコンポーネントと機能を持っており、一つの脆弱性を修正することが他の機能に影響を及ぼす可能性があります。そのため、パッチを適用する前に広範なテストが必要となり、これが遅れの一因となっている可能性があります。
しかしながら、セキュリティは現代のテクノロジー社会において最も重要な要素の一つであり、特に広範囲にわたって使用されているオペレーティングシステムにおいては、脆弱性の迅速な修正が求められます。Microsoftがこれらの脆弱性に対処するためにどのような措置を講じているのか、また、今後どのようにセキュリティ対策を強化していくのかは、多くのユーザーにとって注目のポイントです。
長期的には、このような脆弱性への迅速な対応は、ユーザーの信頼を維持し、悪意のある攻撃から保護するために不可欠です。また、セキュリティコミュニティとの協力関係を強化し、オープンなコミュニケーションを維持することで、将来的な脆弱性への対応をより効果的に行うことができるでしょう。
