Microsoft、18年にわたってWindowsに存在した脆弱性を修正 50
ストーリー by headless
長寿 部門より
長寿 部門より
18年にわたってWindowsに存在していた脆弱性 CVE-2014-6332 (MS14-064) が、11月の定例更新で修正された(
Security Intelligenceの記事、
TrendLabs Security Intelligence Blogの記事、
BBC Newsの記事、
ITmediaニュースの記事)。
この脆弱性はOleAut32ライブラリのバグが原因で、配列のサイズ変更が適切に処理されないためにリモートからコードが実行される可能性がある。バグ自体は少なくとも19年前から存在していたが、18年前にInternet Explorer 3.0がリリースされたことで、VBScriptの「ReDim Preserve」ステートメントを使用して悪用が可能になったという。IE11の拡張保護モードや、EMETやDEPといった保護機能も迂回できるということで、すでに実証コードも公開されているそうだ。MicrosoftではサポートされているすべてのWindowsについて深刻度が「緊急」と評価している。脆弱性はIBM X-Force Researchによって5月に発見されたが、Microsoftによる修正が完了するまで公表されなかったとのことだ。
この脆弱性はOleAut32ライブラリのバグが原因で、配列のサイズ変更が適切に処理されないためにリモートからコードが実行される可能性がある。バグ自体は少なくとも19年前から存在していたが、18年前にInternet Explorer 3.0がリリースされたことで、VBScriptの「ReDim Preserve」ステートメントを使用して悪用が可能になったという。IE11の拡張保護モードや、EMETやDEPといった保護機能も迂回できるということで、すでに実証コードも公開されているそうだ。MicrosoftではサポートされているすべてのWindowsについて深刻度が「緊急」と評価している。脆弱性はIBM X-Force Researchによって5月に発見されたが、Microsoftによる修正が完了するまで公表されなかったとのことだ。
値の検査 (スコア:2)
割とマヌケなバグだけど、面倒だからイイカゲンに作ってしまいそうではある。
Re: (スコア:0)
割とマヌケなバグだけど、面倒だからイイカゲンに作ってしまいそうではある。
その程度のプログラマしかいなかったってことですよね。
Re: (スコア:0)
それは短絡的すぎる・・・。
Re: (スコア:0)
「しか」とか言っちゃう論理化が苦手なあんたみたいな人がバグを作る。
どういう実装かによるけど (スコア:1)
根幹にかかわってて、一見普通だと動作的な確認でもレビューとかでも取り除きにくいんだろうな...
# 単純に見付けにくいっていうだけかもしんないけど(そしてそういうのはすごい残ったりする)
M-FalconSky (暑いか寒い)
Re: (スコア:0)
19年前に仕込まれたバグの修正とか全く想像でない…
Re: (スコア:0)
ニュースになったり公表されないだけで、十年以上前あるソフトのバグ修正とか結構ありますよ。
重要であるプログラムであれば、変更のリスクを避けるために丸ごとソースを移植したりバイナリを流用されてますので。
ただ、そういったソフトの修正はソースの変更よりも、当時の開発環境を再現するのが大変だったりします。
まぁ、今回の件はマイクロソフトですから、開発環境自体は新しくなっていそうですが。
#私が今修正してるソースは12年前だった。
Re:どういう実装かによるけど (スコア:3, おもしろおかしい)
> ニュースになったり公表されないだけで、十年以上前あるソフトのバグ修正とか結構ありますよ。
なんでバグが発生したのか調べろ！
って、部長がいうので、10年前の資料とか調べたら
10数年前に部長が新入社員だったころにコーディングした部分だった。
なんて話あります。
Re:どういう実装かによるけど (スコア:1)
部長昇進早いですね…
Re: (スコア:0)
10数年前のIT企業なら10年も勤めていたら部長にも取締役にもなれると思うよ。
当時20人くらい今200人くらいみたいな会社ね。
Re: (スコア:0)
Re: (スコア:0)
新入社員の十数年後なら40間近ですし、言うほどでもないかと。
# 創作くさいって言いたいのか知らんけど。
Re: (スコア:0)
知ってるIT企業では、中途採用だけど、入社２年目くらいの若い社員が社長になってましたよ。
親会社が問題を起こしてキャッシュが必要となり、その会社を清算して現金化しようと計画。
親会社と抵抗する社長とで、ドロドロでギリギリな争いをやった結果、親会社が社長を追い出して、言いなりの社長として任命。
なかなかエキセントリックな会社です。
結構有名。
Re: (スコア:0)
こういう時みんなどうしてるの？
ちゃんと仕返ししてる？
オレはするけどな。
おかげでオレが昇格した。
Re: (スコア:0)
両津のバカはどこだ！
Re: (スコア:0)
バグを利用して昇格したって？
Re: (スコア:0)
バグをついて権限昇格だな
Re: (スコア:0)
調べろって言われて調べることに、「仕返し」が発生する余地があるんですか？
Re: (スコア:0)
担当者はとうに退社した女の子で…という昔話になったことも
Re: (スコア:0)
> 担当者はとうに退社した女の子で…という昔話になったことも
そんなのは日常茶飯事ですよ。
忙しいからて他部署やら他の会社やら派遣PGを雇ってプロジェクトを終えたあと解散したら、
ほとんど開発者はいないってこともある。
Re: (スコア:0)
SSL3.0のバグは18年隠されていましたわけですけど、POODLEによって死亡ですよね。
オプソは棄てるで解決できるので楽ですね。
NSAは (スコア:0)
知っていたのだろうか？
おかしくね？ (スコア:0)
> バグ自体は少なくとも19年前から存在していたが、
> 18年前にInternet Explorer 3.0がリリースされたことで、
> VBScriptの「ReDim Preserve」ステートメントを使用して悪用が可能になったという。
空間を読むと
バグ自体は存在していたが悪用はできなかった。
IE3.0がリリースされたことで悪用できるようになった。
ということですか？
Re:おかしくね？ (スコア:2)
という事なので、yes。
実証コードをほれっ (スコア:1)
Internet Explorer OLE Automation Array Remote Code Execution Exploit [1337day.com]
モデレータは基本役立たずなの気にしてないよ
Re:おかしくね？ (スコア:1)
バグ自体の存在と同時に、「ローカルでの悪用」は可能であった。
IE3.0が VBScript を採用したことにより、「リモートでの悪用」が可能になり、攻撃者にとっての使い勝手が飛躍的に上昇した。
Re:おかしくね？ (スコア:1)
Re: (スコア:0)
そしてそのIEは
「about:～」のリンクで
ローカル権限発動可能な穴を
何年も放置していたというオチがつくわけです
# 内部犯の巧みな仕込みって疑いたくなるわ
十分にうっかりな人のデバッグは (スコア:1)
悪意と区別が付かない
Re: (スコア:0)
空間を読む？
Re: (スコア:0)
中二病な感じがいいね！
NSAがもういらないって (スコア:0, オフトピック)
言ったから直したんだろｗ
なるほどね (スコア:0)
サポート終了後に何年も放置してたバグを発表するビジネススタイルですか
# それでもわたしはXPを使い続けるよ！
Re:なるほどね (スコア:3)
＞サポート終了後に何年も放置してたバグを発表するビジネススタイルですか
そーゆーの前からやってますよ
Windows の全バージョンに危険な脆弱性が見つかる [srad.jp]
Windows 2000 や XP SP2 でもこの脆弱性の影響を受けるが、修正される見通しは無いとのこと
今回のバグは何年も放置されていたわけではないよ (スコア:1)
＞Windows 2000 や XP SP2 でもこの脆弱性の影響を受けるが、修正される見通しは無いとのこと
誤解のないように書いておきますけど、MS10-046 [microsoft.com]で Windows XP SP3 には対応していました。もちろんサポートが終了した Windows 2000 には提供されておらず、サポート終了後にもかかわらず修正パッチが提供されたのはMS14-021 [microsoft.com]のみ。
# GW までに Windows XP を葬れた OS/2 ユーザーなのでID
モデレータは基本役立たずなの気にしてないよ
Re: (スコア:0)
「Vista以降はXPまでとまったく別物と言っていい」
18年前のバグがまだありました、てへ
Re: (スコア:0)
見つけたのはIBMだから、IBMもグルだな！
Re: (スコア:0)
入札仕様書に「セキュリティホールのないＯＳ」って書けばいいんじゃね？ （ほじほじ）
Re: (スコア:0)
> それでもあなたはWin8にアップグレードしますか？
Windows8は販売終了したし、わざわざ8は入れないですね。
Windows ライフサイクルのファクト シート [microsoft.com]
Re: (スコア:0)
「アップグレード」ってことは今もWindows使ってるなら状況別に変わらないですよね？
え？ OSX? サポート期間って何？
え？ Linux? 業務ソフトないよ？
Re: (スコア:0)
起動不能にするアップデートをサポートだと有り難がってればいいよ
スクリプト (スコア:0)
VBScriptはそれ自体は便利だが、学ぶ価値がなさすぎる。
そろそろOS Xのようにpythonとかを乗っけたらいいのにさ。
ついでにVBAも全面廃止しよう。
「買いたい人は有料で追加でどうぞ。」としてPythonで入れ替えればいい。
日本はRuby押しだけど、ソフト育ってない。
Re:スクリプト (スコア:1)
Re:スクリプト (スコア:1)
Re: (スコア:0)
もうPowerShellがあるからVBScriptを使う必要はない。VistaでもWindows Updateが掛かっていればインストール済み。
付属環境は無いが、Excel等の無人処理だけならPowerShellや他の言語でもできる。
Re: (スコア:0)
そうですねー
Re: (スコア:0)
rubyのwinodws冷遇っぷりを知ってうえでそれですか？
windowsではすんなりインストールできないgemもいくつかあるんですが…
nokogiriとか
まあ、開発者自ら使うならインストールが手間でも問題ないんですが何も知らないユーザーにそれをやらせろと？
Re: (スコア:0)
そうそう、pythonとか、perlとか。
メモ帳 (スコア:0)
それで、メモ帳の保存すると改行が入る問題はいつになったら直すんだよ。