パスワードを忘れた? アカウント作成
この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

IEに関するゼロデイ脆弱性の修正パッチ配布開始、XPにも提供へ」記事へのコメント

  • by Anonymous Coward

    MicrosoftのTechNetブログより。

    なお、Windows XP を含め、本脆弱性を悪用する攻撃が広まっている状況ではありませんのでご安心ください。本脆弱性の影響に関しては、これまでの所、大きすぎる懸念が広がっていると考えております。攻撃は非常に限定的ですので、ご安心ください。

    Internet WATCHより。

    セキュリティ企業Kasperskyでも、「セキュリティチームたちは、これが広まっている様子を見ておらず、我々のいかなる顧客システムに対しても使用されたことを発見できていない」とおおむねMicrosoftの見解に同意している。

    いかなるソフトウェアでも脆弱性が含まれるのは避けられません。
    たいした被害が出ているわけでもないのに、Microsoftのセキュリティアドバイザリを参照もせず、ブラウザ変えろ

    • 確かによく分からず騒ぐ人、「祭りのネタ」にしたい人もいたようですが、そればかりではないでしょう。

      なお、Windows XP を含め、本脆弱性を悪用する攻撃が広まっている状況ではありませんのでご安心ください。本脆弱性の影響に関しては、これまでの所、大きすぎる懸念が広がっていると考えております。攻撃は非常に限定的ですので、ご安心ください。

      「TechNetブログ」とはこれ [technet.com]ですか。こういうときには具体的なソースを示した方がいいと思います。

      マイクロソフトとしては自社製品のシェアが下がっては一大事なので、リスクを低めに見積もりたくなるバイアスがかかっても不思議ではありません。欠陥品の製造元のコメントみたいなものですから。もちろんそれで世間に過小評価が広がって大事故になるリスクを考えないほど愚かではないでしょうけれど。

      たいした被害が出ているわけでもないのに、Microsoftのセキュリティアドバイザリを参照もせず、ブラウザ変えろとか、ありえないです。

      たぶんあなたの知らないところで、このサイトに出入りしているようなエンジニアとかが、セキュリティアドバイザリの内容を分析して自組織内向けの対応策を検討していたのでしょう。標的型攻撃に遭ったことがあるようなところでは放置リスクを許容できなくても不思議はありません。その結果が「ブラウザ変えろ」でも何もおかしくはありません。

      一方Microsoftの対応として気になったのは、セキュリティアドバイザリがわかりずらかった点でしょうか。
      あれ、一般人は読む気になりませんね。

      そうですか?2963983(v1.0どこ行った)は分かりやすくよく書けていたと思いましたが。「一般人」がどんな人なのかよく分かりませんが。
      # あと「わかりずらい」ではなく「わかりづらい」ね。

      EMETを導入するのが一番簡単なので、それを強調してもよかったと思います。

      それこそ「一般人」が手を出すべきではないシロモノでしょう。「生兵法は怪我の元」です。なぜマイクロソフトがOS標準機能にしないのかとは考えませんでしたか?EMETのページ [microsoft.com]には5.0TPが大きく載っていますが、私の環境ではトラブルを起こしました。

      相当信頼されているであろう徳丸浩さんのツイッターコメント [twitter.com]を参考までに。

      --
      Jubilee
      親コメント
      • by Anonymous Coward

        EMETがまだ一般向けじゃないのは同意しますが、

        > 5.0TPが大きく載っていますが、私の環境ではトラブルを起こしました。

        Technology Previewでフィードバックしたけど、製品版でも直らなかったというのであればわかりますが、Technology Previewで問題が起きたというのはどうかと…。

        差し支えなければどのようなトラブルが起こったんでしょうか。
        Excelのプラグインが読み込まれなかったなどでしょうか?

        • Technology Previewはトラブルを起こして当然、問題をあぶり出すための未完成品であることには議論の余地はないと思います。私もまだ問題がある点を批判しているわけではなく、EMETのページ [microsoft.com]の一番目立つところにTechnology Previewがあるという「分かっている人向け」のページになっていることにももちろん異議はありません。EMETはそういう場で配布されているツールであるにもかかわらず安易に使用をすすめるのは、私には無責任だと思えます。

          上記ページの脇の方から入手できるEMET4.1についてはリリース以来トラブルフリーで使っており、Wordのゼロデイの時には「Fix it 51010があたらない」というユーザーに覚悟を決めて限定的に展開しました。幸いこれまでのところサポート要求は皆無ですが。51010にはバグがあるという話 [blogspot.jp]ですね。

          ちなみに、トラブルというのは業務システムでも何でもないから書けるのですが、「IE11を閉じようとすると異常終了する」というものでした。イベントログの解析は、暇ができたらしてみたいものです。

          --
          Jubilee
          親コメント

皆さんもソースを読むときに、行と行の間を読むような気持ちで見てほしい -- あるハッカー

処理中...