12時09分ポスト一覧noteテキストHTML電子書籍PDFテキスト電子書籍PDFGoogleの研究者であるforshaw氏が、Windowsに発見していた特権昇格のバグを、脆弱性の概念実証(POC)プログラムとともに公表した。7を含む以前のバージョンのWindowsが脆弱性の影響を受けるかどうかは未確認だという。この脆弱性は関数「AhcVerifyAdminContext」内に発見された。筆者が確認したところ、この関数の情報はMicrosoftのウェブサイト上では公開されていないため、AhcVerifyAdminContextはパブリックAPIではなく内部的な関数だと思われる。forshaw氏は2件のPOCプログラムと、それらを使用してWindowsの電卓を管理者として実行する手順を公開している。同氏によると、POCプログラムでは脆弱性を実証するためにWindowsのユーザーアカウント制御(UAC)を使用しているが、今回の脆弱性はUAC自体に起因するものではないという。筆者がPOCプログラムをテストしたところ、Windowsの電卓は実行されたが、その特権が昇格されているかどうかは確認できなかった。Securityによって悪質なプログラムとして検出および隔離された。Research」に情報を投稿した。Zeroの開示方針が適用され、90日が経過しても正式なパッチがリリースされない場合は、脆弱性に関する情報が自動的に公表されると述べていた。同氏がMicrosoftに情報を通知したかどうかは、投稿の中では言及されていない。オススメ記事Windows脆弱性、ISCサイト停止など--仕事始めに確認したい年末年始のセキュリティ情報DNSサーバ「BIND」開発で知られるISCのサイトが停止中--訪問者にスキャン検査を推奨2014年の10大セキュリティ脅威を振り返る12月31日、本件に関する声明がMicrosoftの担当者から米ZDNetに寄せられた。その中で同社は、特権昇格の脆弱性を修正するセキュリティ更新を準備中であることと、攻撃者が脆弱性を悪用するには標的となるマシンの有効な認証情報を入手したうえで、ローカルでログインする必要があることを強調している。ユーザーに対してはウイルス対策ソフトウェアを最新の状態に保ち、ファイアウォールを有効にするよう呼びかけている。12月31日にGoogleからもコメントが寄せられた。それによると、同社は脆弱性に関する情報が社内メーリングリストに投稿された9月30日の時点で、情報をMicrosoftに通知していたという。Zeroを2014年初頭に開始した時点から告知していたと述べている。同社はコメントの中で、脆弱性の撲滅を目指すプロジェクトの大半が同様の期限を設けているとして、90日という開示期限の正当性を主張している。Initiative」は、この種のプロジェクトの中で最大規模の取り組みだが、やはり標準で4カ月という開示期限を設けている。Googleはポリシーの影響を継続的に監視しており、ポリシーの将来的な調整も視野に入れているとのことである。Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。Davisからのライセンスに基づき朝日インタラクティブが運営しています。JapanTetsudo.comUchuBizツギノジダイ朝日新聞デジタル当サイトは最新ブラウザでの閲覧を推奨します。Davisからのライセンスに基づき朝日インタラクティブが運営しています。広告について当サイトは最新ブラウザでの閲覧を推奨します。permission.このサイトでは、利用状況の把握や広告配信などのために、Cookieなどを使用してアクセスデータを取得・利用しています。これ以降ページを遷移した場合、Cookieなどの設定や使用に同意したことになります。Cookieなどの設定や使用の詳細、オプトアウトについては詳細をご覧ください。