米シマンテック、今度はLive Update機能に脆弱性発覚

　人気の高いウイルス対策ソフト、Norton AntiVirusの開発元である米セキュリティ会社Symantecは先週、同ソフトウェアのLive Update機能で発見された問題を修正した。この問題は、悪意のあるユーザーが感染したパソコンの管理者権限を入手する恐れのある脆弱性だ。

　Live Updateは、Symantecの顧客がウイルス定義ファイルやセキュリティアプリケーションを最新の状態に保つために利用する機能。自動でインターネットに接続し、新しいバージョンがないかSymantecのサーバをチェックするように設定できる。新しいバージョンが見つかると、Live Updateはユーザーに通知するか、更新内容を自動でダウンロード・インストールするよう設定できるが、同社は自動ダウンロード・インストール設定を推奨している。

　Symantecによると、この問題の影響があるのは同社ソフトウェアのWindowsバージョンだけで、この問題が悪用されるには「いくつかの条件」が整わねばならないため、やや目立ちにくいという。もしアプリケーションが、権限のあるユーザーも一般ユーザーもアクセスできるマルチユーザーモードに設定されている場合、一般ユーザーがAutomatic Live Updateインターフェースを操作し、ホストコンピュータの権限を入手する恐れがある。

　この脆弱性はコンサルティング会社の米Secure Network Operationsが発見したもので、13日（米国時間）に公表された。しかしSymantecは、この時点ですでにLive Update機能の新バージョン（2.0）をダウンロード可能にして、この問題を修正していた。

　Symantecによると、Live Updateの最新バージョンは「ユーザーのコンピュータがインターネットに接続すれば、直ちに自動的にインストールされる」という。Automatic Live Update機能がオフになっている場合でも、ユーザーがLive Updateを使って4MBのパッチをダウンロードし、インストールすることが可能。

　今回の問題は、Symantecにとって、ここ数日間に生じた2つめの決まりの悪い出来事となった。9日には、Norton AntiVirusユーザーがウイルス定義ファイルを更新してからコンピュータの動作が緩慢になったり、不安定になったりしたという苦情が、同社のサポートフォーラムに殺到する騒ぎがあった。