「ほぼ全てのウィルス対策ソフトウェアに「有害なプログラムの挙動を検知できない」脆弱性あり」記事へのコメント

マイクロソフトにしてみれば

[Anonymous Coward]

だからカーネルにパッチ当てるなってあれほど言っただろ、って感じの攻撃ですね。
注意深く作る必要はありますが、OSが提供しているフックをお行儀よく使っていれば避けられたはずの脆弱性です。レポートのvulnerable softwareにも、Live OneCareやSecurity Essentialsは含まれていませんね。これはMicrosoftのセキュリティ製品だけが非公開APIでズルしているからではありません。MicrosoftはAPIを公開していましたが、サードパーティーはそれを無視するばかりか今までのやり方(カーネルパッチ)を続けさせろと文句を言っていました。
念のため書いておきますが、PatchGuardのおかげでこの脆弱性が避けられるわけではありませんので、PatchGuardが回避可能であることはこの脆弱性の議論と無関係です。

Re:マイクロソフトにしてみれば

[hetareDAIO (17407)]

だからカーネルにパッチ当てるなってあれほど言っただろ

カーネルにパッチとは何のことでしょうか？

今回の問題は、ウィルス対策ソフトが検知のために使っている仕組みが、Microsoftがデバッグ用として提供しているフック用APIを使った方法であることに起因しています。この方法は、アプリケーションのデバッグ目的に非常に有効です。Microsoft自身が「Application Verifire」というツールを提供していて、API呼び出しに問題がある場合（引数がNULLだったとか）レポートしてくれるという超便利ツールがこの仕組みを使っています。

--
ほえほえ

Re:マイクロソフトにしてみれば

[Anonymous Coward]

> Microsoft自身が「Application Verifire」というツールを提供していて、
どこにそんなこと書いてますか? レポートでは
SSDT hook [matousec.com]とその問題 [matousec.com]について説明しているようですが。SSDT hookはまさにMSがやるなと言っている方法です。
逆にApplication Verifierについて言及している箇所は見つけられませんでした。

Re:マイクロソフトにしてみれば

[hetareDAIO (17407)]

SSDT hookとその問題について説明しているようですが。SSDT hookはまさにMSがやるなと言っている方法です。

おー、了解です。ありがとうございます。カーネルの一歩手前の話ですか。なるほど。AppVは関係ないですね。失礼いたしました。

--
ほえほえ