6 月のパッチ火曜日アップデートが 1 つだけでは、Microsoft は不十分です

Jul 13, 2023

スーザン・ブラッドリー著、寄稿者、Computerworld |

私は何年にもわたって Microsoft の Windows パッチを追跡し、同社が加えたすべての変更を注意深く監視してきました。 アップデートを特定の順序でインストールし、どのアップデートを最初にインストールする必要があるかを監視しなければならなかったときのことを覚えています。 Software Update Services (後に Windows Server Update Services と呼ばれる) を使用した自動パッチ適用が登場したことを覚えています。 各脆弱性に個別にパッチを適用するシステムから、現在の累積パッチ適用システムにどのように移行したかを見てきました。

理想的なパッチは自己完結型です。 インストールして再起動し、作業に戻ります。 副作用はありません。 オペレーティング システムを保護します。 そして、それがやるべきことをするので、あなたはそれを忘れます。

セキュリティ業界の多くは、特定のセキュリティ事件を覚えており、それについて詩的に語りかけます。 私は特定のパッチとその副作用を覚えている傾向があります。 私のお気に入りは、死のブルー スクリーンを引き起こした昔のアップデートです。 この特定の更新プログラム MS10-015 では、カーネル レジスタに変更を加えることにより、特権の昇格の問題が修正されました。 問題は、米国外の一部の地域では、ユーザーが製品ライセンス キーの必要性を回避するソフトウェアを実行していたことであり、そのソフトウェアは Windows カーネルに接続するためにまったく同じレジスタを使用していました。

そのため、そのパッチをインストールすると、すぐに BSOD が発生し、コンピューターを回復できなくなりました。 根本原因を突き止めるために、Microsoft は影響を受けた顧客からラップトップを購入することまでしました。 (この話は、Microsoft Security Response Center の責任者である Dustin Childs によってこのビデオで詳しく語られています。)

今月のパッチ火曜日リリースに早送りしてください。 これには、誰かがレジストリ ハイブとキーを展開するまでオペレーティング システムを完全に保護しない更新プログラムが含まれていました。詳細は KB 記事にほとんど埋もれています。 これを見つけるには、「Windows 10 21H2」セクションを展開して、追加のナレッジベース記事への小さなリンクにアクセスする必要がありました。 念のため言っておきますが、21H2 は今月最終アップデートを取得しました。そのため、Microsoft は 21H2 と 22H2 の両方に影響を与える変更を同じ速報でこのように紹介することがよくありますが、この情報を更新履歴の奥の方に埋めるのは奇妙に思えます。

Microsoft の 6 月のパッチの 1 つに関する詳細については、追加の KB 記事を参照してください。

追加のアクションを実行するためのガイダンスは「詳細」セクションに記載されていますが、レジストリ ハイブを手動で追加する必要があることさえ明確ではありません。 なぜこれがアップデートの一部にすぎなかったのでしょうか? （このパッチには、無効設定のレジストリ キーさえ含まれていません。ユーザーは自分でハイブ全体を追加する必要があります。）そして、先週の木曜日、Microsoft は、手動手順によって「潜在的な破壊的変更」が導入される可能性があると指摘しましたが、何も通知しませんでした。その変更が何に影響を与えるか、あるいは何を探すべきかについての手がかりさえ得られます。

Microsoft は 6 月 15 日にフォローアップ ノートを発表し、パッチの混乱にさらに拍車をかけました。

必要なレジストリ キーは、Windows 10 と 11、および Server 2022 の各バージョンに固有です。ここで、良いニュースがいくつかあります。 この脆弱性は次のように説明されています。

認証されたユーザー (攻撃者) は、Windows カーネルに情報漏えいの脆弱性を引き起こす可能性があります。 この脆弱性を利用するには、管理者またはその他の高い権限は必要ありません。

攻撃者がこの脆弱性の悪用に成功すると、サーバー上で実行されている特権プロセスからヒープ メモリを参照する可能性があります。

この脆弱性の悪用に成功するには、攻撃者がシステム内の別のユーザーによって実行される別の特権プロセスと攻撃を調整する必要があります。

言い換えれば、これは、消費者や多くの企業ではなく、高価値のターゲットを狙う攻撃者ということになります。 そして、追加の時間と労力を必要とする複合的な攻撃が必要であることを考えると、それを成功させるのは簡単な攻撃ではありません。 それでも、この特定のリリースに関するコミュニケーションがどれほどひどいものであるか、特にどのような副作用が発生する可能性があるかについての情報が不足していることについて、私が抱いている懸念が軽減されるわけではありません。 オフィスの Windows 10 22H2 マシンと自宅の Windows 11 22H2 PC にレジストリ ハイブを手動で追加しましたが、直接的な影響は見られませんでした。