WMF脆弱性の修正パッチ、正式公開前にウェブに流出

　Windowsの脆弱性を修正するセキュリティパッチの初期バージョンが、正式なリリース前にネット上で公開されてしまった。

　MicrosoftのDebby Fry Wilson（Security Response Centerディレクター）が米国時間4日に明らかにしたところによると、この修正パッチはあるセキュリティ関連コミュニティのウェブサイトで一時公開されていたという。その後、このファイルのコピーは他のいつくかのサイトでもが公開されたが、Microsoftは顧客に対し、米国時間1月10日に公開予定の月例パッチに含まれる正式版を待つよう奨めている。

　「不注意でパッチが公開されてしまった」とFry Wilson。「われわれは急いでセキュリティアップデートの用意を進めていた・・・（ところが）だれかが誤ってコミュニティサイトでプレリリース版を公開してしまった。このバージョンはすでに削除されており、それを利用することは推奨できない。われわれが10日にリリースしようとしているバージョンではないからだ」（Wilson）

　このパッチは、Windows Meta File（WMF）イメージのレンダリングに関する脆弱性を修正するためのものだが、先週発見されたこの脆弱性が悪用されると、悪質な画像ファイルのあるウェブサイトにアクセスした脆弱なPCが被害を受ける可能性がある

　攻撃の勢いがすさまじいため、セキュリティ専門家らはパッチの準備を急ぐようMicrosoftに働きかけていた。ドイツのマクデブルク大学でウイルス対策ソフトウェアを研究するAndreas Marxによると、すでに100万台以上のPCがこの脆弱性を悪用した攻撃の被害を受けているという。また別の専門家は、WMFの脆弱性を悪用するウェブサイトが数千カ所にのぼり、さらに複数のトロイの木馬やインスタントメッセージ経由で感染するワームも少なくとも1種類存在すると述べている。

　Microsoftによると、同社の顧客からは攻撃の報告はあまりないという。同社では次の月例パッチ公開日である10日に、このパッチの正式版をリリースする予定だとFry Wilsonは述べている。

　「テストが完了していないパッチを公開することと攻撃の深刻度とをはかりにかける必要がある。多数の顧客が攻撃を受けているのであれば、顧客を守るために、問題を引き起こす可能性があっても現状のままアップデートの公開に踏み切る」（Fry Wilson）

　完全にテストしたパッチでも副作用を引き起こす場合がある。Microsoftでは、これまでも何度か問題が発生しており、最近の例としては12月に公開したInternet Explorerのアップデートでこうした問題が起こっていた。

　Gibson Research（本社：カリフォルニア州ラグーナヒルズ）社長のSteve Gibsonによると、Microsoftのパッチはほぼ完成しているようだという。このファイルをダウンロードしてテストしたGibsonは、「うまく機能した」と語った。同氏によると、このパッチはIlfak Guilfanovという欧州在住のプログラマーが開発したパッチと一緒につかっても問題が起こらなかったという。