「Visual Studio」の脆弱性を突くコード出現--深刻度は「重大」

文:Joris Evers(CNET News.com) 翻訳校正:編集部2006年11月02日 11時57分

 Microsoftは、開発者向けスイート「Visual Studio」のセキュリティホールがユーザーを標的とする攻撃に悪用されているとの警告を発した。

 Microsoftが米国時間10月31日夜に公表したセキュリティ勧告によると、この脆弱性はVisual Studio 2005の「ActiveXコントロール」に存在しているという。同社は「この脆弱性の悪用に成功した攻撃者は、システムを完全にコントロールすることができるようになる」と警告している。

 セキュリティ監視会社French Security Incident Response Teamは、サイバー攻撃者が既にこの脆弱性を悪用した攻撃を行っていると警告している。同社はこの脆弱性の深刻度を、最高レベルの「重大」であると判断している

 Microsoftは同社のSecurity Responseブログにおいて、この脆弱性を悪用した限定的な攻撃の可能性を認識していることを明らかにしている。

 同社によれば、攻撃を成功させるためには、Visual Studioユーザーをだまして不正なウェブサイトを閲覧させる必要があるという。同社はこの脆弱性に対する修正を計画しており、月例パッチサイクルでリリースする予定にしているものの、いつの月例パッチに含めるのかについては明らかにしていない。

 脆弱性のあるこのActiveXコントロールは、WmiScriptUtils.dllに含まれる「WMI Object Broker」である。これはVisual Studio 2005の「WMI Wizard」によって使用されるものである。WMI、すなわちWindows Management Instrumentationは、Windows Driver Modelに対する一連の拡張である。

 この脆弱性は、Visual Studio 2005を稼働させているシステムに影響を与える。Microsoftによれば、Windows Server 2003およびWindows Server 2003 Service Pack 1をデフォルト構成で稼働させ、セキュリティ強化の構成をオンにしているシステムは影響を受けないという。

 また同社によれば、デフォルト設定のInternet Explorer 7にアップグレードされたVisual Studio 2005マシンは、インターネットゾーンのActiveXのオプトイン機能を利用してWMI Object Broker ActiveXコントロールを有効にしていない限り、影響を受けないという。

 Microsoftの次回のパッチリリースは11月14日に予定されている。

この記事は海外CNET Networks発のニュースを編集部が日本向けに編集したものです。 海外CNET Networksの記事へ

CNET Japanの記事を毎朝メールでまとめ読み(無料)

-PR-企画特集

このサイトでは、利用状況の把握や広告配信などのために、Cookieなどを使用してアクセスデータを取得・利用しています。 これ以降ページを遷移した場合、Cookieなどの設定や使用に同意したことになります。
Cookieなどの設定や使用の詳細、オプトアウトについては詳細をご覧ください。
[ 閉じる ]