Japan Security Team

9月のセキュリティリリース

小野寺です今日のリリースは、事前通知でお伝えした 緊急 1 件, 重要 3 件の計 4 件を新規に公開しています。当初の事前通知では、重要 4 件とお伝えしていましたが、1 件は、順延となったため、今月は重要 3 件となります。 今月は、MS07-052, MS07-053, MS07-054 がセキュリティ情報の公開前に一般に情報が公開されていましたが、悪用が確認されてはいません。特に、各セキュリティ情報に既知の問題もありませんが、いくつかのセキュリティ情報を抜粋します。 MS07-052: Crystal Reports for Visual Studio の脆弱性により、リモートでコードが実行される (941522)Crystal Reports に関する脆弱性に対処しています。Crystal Reports は、Visual Studio の各バージョンと供に出荷されておりいるコンポーネントになります。 注意点としては、更新の展開・検出に際して一部のバージョンのVisual Studioでは、MBSA 2.01 で検出できず EST を使う必要があります。 MS07-053: Windows Services for UNIX の脆弱性により、特権の昇格が起こる (939778)Service For Unix または UNIX サブシステムの脆弱性に対処しています。注意点としては、更新の展開・検出に際して一部のバージョンのVisual Studioでは、MBSA 2.01 で検出できず EST を使う必要があります。 …

9月のセキュリティリリース Read More »

不安と対策

小野寺です。 最近、以前の様な大規模で、ネットワーク全体に被害が及ぶようなセキュリティ事故は、あまり目にしなくなっています。 とはいえ、Bot (ボット) や、Targeted Attack (標的型攻撃)の特定の組織や個人を狙った問題が増えています。 フィッシング詐欺なんかも、標的型の攻撃の一種ですね。 トレンドマイクロさんが調べた結果だと、何らかの不安を感じている利用者は 98% に上っているようです。 しかし、その一方で、同じ母集団ではないですが、対策をしている利用者は 2割~3割程度という調査結果もあります。少し乱暴な推測ですが、利用者は不安は感じているけれども、対策はしていないという事になります。 実社会において、何らかの不安を感じたら何か不安に対処するために対策を取っていると思います。 (もしかすると、不安を対策とは別の手段で打ち消しているかもしれませんが・・・)しかし、実際には、インターネットやパソコンに関して、不安と感じても対策を取っていないわけです。 対策しない理由は、「現実感が無い (自分だけは被害にあわない)」、「対策にお金が掛かる」、「対策方法が分からない」、「理由は無いが対策したくない」など色々とあると思っていますが、 少なくとも、「現実感が無い」「対策にお金が掛かる」の部分は、セキュリティに関わるものとして何とかしたいと思っています。 OenCare などの有償のサービスもありますが、セキュリティーに関する資料や無償のツールも併せて公開しています。 我々の活動がまだまだ不足しているのか、本当に伝えたい利用者には伝えるべき事が伝え切れていないと軽い無力感を感じます。しかし、 先日の TechED でも MVP の方々とお話させていただいた中で、親として子供に、いつから何を教えていけば子供が安全に使えるのか、分からないと言う事をききました。この話を聞いたとき、まだまだやるべき事は多く残っていると感じました。セキュリティチームでは、家庭向けのセキュリティコンテンツも提供していますが、彼らの悩みに直接答えるものではありませんでした。 些か愚痴っぽくなりましたが、少しずつでもインターネットが安心して使える安全な環境である様にしていきたいですね。もちろんそれは、私個人ができるものでは、ないですし、マイクロソフトだけでできるものではありません。 きっと、インターネットの成り立ちの様に利用する個人・個人が少しだけ意識することで、状況が改善していくのだと感じています。 そのための、お手伝いできる事は何なのかを最近考えます。

9 月の「セキュリティ情報 5」の公開中止

小野寺です。 9/12 に公開を予定していた5 件のセキュリティ情報の内、「セキュリティ情報 5」の公開を中止しました。「セキュリティ情報 5」は、Windows および SharePoint Server に影響のあるセキュリティ情報でしたが、テスト過程で発見された品質問題の調査・解決の為に来月以降に順延するべきと判断しました。 そのため、今月は、緊急 1 件、重要 3 件 の計 4 件を公開する予定です。

9 月のセキュリティリリース

小野寺です さて、台風9号がきておりますが、今月は、先月と比較すると若干少ない?4 件の公開を予定しています。その内、緊急は 1 件、残りの 3 件は重要となっています。なお、リリース日は、 9/12 となります。 今月も、表形式でご紹介してみたいと思います。 http://www.microsoft.com/japan/technet/security/bulletin/ms07-sep.mspx 影響を受ける製品 最大深刻度 影響 検出方法 再起動 セキュリティ情報 1 Windows 緊急 リモートでコードが実行される MBSA 必要 セキュリティ情報 2 Visual Studio 重要 リモートでコードが実行される MBSA, EST 必要な場合あり セキュリティ情報 3 Windows Services for UNIX, Subsystem for UNIX-based Applications 重要 特権の昇格 MBSA,EST 必要 セキュリティ情報 4 MSN Messenger, Windows Live Messenger 重要 リモートでコードが実行される …

9 月のセキュリティリリース Read More »

8月のセキュリティリリース

今日のリリースは、事前通知でお伝えした 緊急 6 件, 重要 3 件の計 9 件を新規に公開し、MS07-038を更新しています。加えて、セキュリティアドバイザリを 1 件公開しました。 まずは、セキュリティ上の脅威から考えてみます。今月は、セキュリティ情報の公開前に一般に情報が公開されていたり、悪用が確認されている脆弱性はありません。その意味では、純粋に使用しているシステムの環境に併せて、適用計画を立てることができると考えられます。 次に、セキュリティ情報から幾つか抜粋してみます。 MS07-042: XML コア サービスの脆弱性により、リモートでコードが実行される (936227)このセキュリティ情報は、XML コアサービスと呼ばれる XML をスクリプト言語等で容易に取り扱うためのライブラリで脆弱性対策をしています。セキュリティ情報を一見すると、多くの更新プログラムが存在し、どれを適用するべきなのか、一瞬混乱するかもしれませんが、各 OS 毎に XML コアサービス 3.0, 4.0, 6.0最大3種類の更新プログラムを適用します。加えて、Office System 向けに それぞれ、更新プログラムがあります。各XML コアサービスがシステムに導入されているかを確認するには、サポート技術情報 (KB) 269238 を参照しつつ、msxml3.dll (3.0), msxml4.dll (4.0), msxml6.dll (6.0) の存在を確認する事で判断できます。 MS07-045: Internet Explorer 用の累積的なセキュリティ更新プログラム (937143)Internet Explorerの累積的な更新プログラムです。Internet Explorer (IE) 7 を使っている場合は、各脆弱性の影響度が IE 6 に比べると押さえられています。この辺は、IE 7 …

8月のセキュリティリリース Read More »

2007年8月のセキュリティ情報 リリース予定

小野寺です さて今月は、セキュリティリリースの当日は 8/15 に当り、日本国内はお盆シーズンで担当者が不在であったり、またはシステムが休止状態でメンテナンスしやすいのかは各人各様だと思いますが、何かと人での不足する時期であるというのは、共通では無いでしょうか? とはいえ、リリース自体は日米同時に行いますので日程を変更するわけにも参りませんので、予定通り、事前通知をお伝えします。 今月は、計 9 件 (緊急 6, 重要 3)を予定しており、表形式でご紹介してみたいと思います。 http://www.microsoft.com/japan/technet/security/bulletin/ms07-aug.mspx 影響を受ける製品 最大深刻度 影響 検出方法 再起動 セキュリティ情報 1 Windows, XML Core Services 緊急 リモートでコードが実行される MBSA 必要 セキュリティ情報 2 Windows, Visual Basic, Office for Mac 緊急 リモートでコードが実行される MBSA 必要 セキュリティ情報 3 Office 緊急 リモートでコードが実行される MBSA 不要 セキュリティ情報 4 Windows, Internet Explorer 緊急 リモートでコードが実行される MBSA …

2007年8月のセキュリティ情報 リリース予定 Read More »

セキュリティチーム on Peer Talk Lunch

小野寺です。 最近、バタバタしていて勉強会等に参加できず、実際に顔を合わせて色々とお話をする機会が無かったのですが、今度の横浜で行なう Tech・Ed 2007 Yokohama にセキュリティチームも参加する事になりました。今回は、通常のセッションではなく、Peer Talk Lunch で、セキュリティのコーナーを用意しました。Peer Talk Luch は平たく言うと、昼食を食べながら色々と話しましょう!という場です。 他にも、Security 製品である ForeFront や、Windows Server など色々なコーナーがあり、各コーナーにマイクロソフトのその道のプロが集まっています。 TechED に参加される方で、セキュリティに色々と思うところのある方は、8/23 の Peer Talk Lunch の会場までお越しください。私も、最近、皆様と意見を交わす機会が無かったので、久しぶりにセキュリティに関する諸々について語り合いたいと思っています。 ちなみに、TechED の参加登録は可能なようですので、お時間が許す方は是非お越しください。 Tech·Ed 2007 Yokohama http://www.microsoft.com/japan/teched/default.mspx参加登録と参加料http://www.event-registration.jp/events/te07/registOutline.htm もしかすると、Peer Talk Lunch 以外の時間も会場をフラフラしているかもしれませんので、見かけたら声を掛けてくださいね。