Windowsのリモートデスクトップサービスに重大な脆弱性、Windows XP/Server 2003にも修正パッチが出る 73
ストーリー by hylom
皆様ご対応を 部門より
皆様ご対応を 部門より
あるAnonymous Coward曰く、
WindowsのRemote Desktop Servicesに、悪用することで任意の外部コードを実行できてしまう脆弱性（CVE-2019-0708）が発見された。細工を施した接続リクエストを送信するだけで攻撃が可能で、自己増殖型のマルウェアに悪用される可能性も高いとのこと（ITmedia、窓の杜）。
この脆弱性の影響を受けるのはWIndows 7/Windows Server 2008 R2以前のWindowsのようだ。Windows 8以降については影響はないとのこと。Windows 7およびWindows Server 2008/2008 R2向けにセキュリティアップデートがすでに提供されているほか、すでにサポートが終了しているWindows XPおよびWindows Server 2003についても、影響が大きいとして修正パッチがリリースされている。
仲間外れ？最弱？ (スコア:1)
Vistaはどうなんだろう？
Re:仲間外れ？最弱？ (スコア:1)
VistaはServer 2008用のアップデートをMicrosoft Update カタログ [microsoft.com]から個別にダウンロードして適用できますよ。
まー当然サポート外の行為とは思いますが。。。
Re: (スコア:0)
ユーザーが少ないから無視しているのでは。いかに脆弱でも感染対象がそもそも存在しなければ感染できないからね
Re: (スコア:0)
Server 2008は割と生き残っていたりするので、そっち向けにだしても良い気はする
Re: (スコア:0)
Vistaはどうなんだろう？
Me too!
Re:仲間外れ？最弱？ (スコア:1)
流石にWindows MEは忘れてやれよ！
Re: (スコア:0)
ほら、でもドジっ娘メイドほど印象に残るってのはあるじゃない。
# 注) Windowsはメイドではありません
Homeエディションには影響しない? (スコア:1)
RDPのホスト機能が無ければ、影響を受けないという認識でいいですか?
むしろProfessionalなら延長サポートが受けられるからと
Homeより高価なProを選ばなければならなかった当時の選択が
逆に、よけいなリスクを背負うことになったとはがっかりです。
2012年にはHomeエディションでも延長サポート対象になっちゃったし
サポート終了しても (スコア:0)
緊急の脆弱性にはパッチ降ってくるならXPを使い続けても構わないよね！
Re:サポート終了しても (スコア:1)
何やってもMicrosoftを批判する輩（＝バカ）がいます
それを踏まえて，ちゃんとパッチだして批判されているMicrosoftは偉いと思います
Re: (スコア:0)
マイクロソフトがあえて曖昧な言い方してるのにそれを理解できないファンボーイが騒ぎ立てる
Re: (スコア:0)
何をやっても批判するのはバカかもしれないが、VistaやWindows8といった本来不必要だったOSをリリースし、完成度を高める努力をせず自分の首を絞め、さらにWindows10でも同じことを繰り返しているMicrosoftは批判されても仕方がない。OSを作り世に問う重要性をもっと真剣に考えなければ批判は減ることがないだろう。
Re: (スコア:0)
イエスだけが石を投げ続けそうな話の展開をしかねない流れに入りそうですな。
Re: (スコア:0)
はいはい、結局何出しても文句言う人でしょ？
Re: (スコア:0)
いや、Windows７には文句は言っていない。Vistaと８は不必要だったし、リリース前から不安視されていたものがそのまま的中したのはあなたも見ただろう。そしてWindows10のリリースサイクルが短すぎることも感じているのではないか？もし今のままで十分だと考えるなら、相当に幸運な人か、自分に嘘をついているかだ。
Re: (スコア:0)
バカは批判しかできないから。そしてバカは出来ることをやる。
Re: (スコア:0)
親コメはマカーに対する皮肉でしょ
Re: (スコア:0)
だから最近マカー並みの信者がマイクロソフトにもいるって話でしょう
皮肉が皮肉になってないって話
Re: (スコア:0)
同じ揶揄でもこのモデレートよ
確かに最近ちょっと異常だよなと思う
Re: (スコア:0)
いや、マカーに対して皮肉を言う人＝マイクロソフト信者とは限りませんよ
Re: (スコア:0)
Microsoft EdgeまたはUWPアプリケーションから印刷を行うと0x80070007eというエラーが表示される。
→ 一般人「半年おきに大型アップデートしなくていいからこういう事が起きないようにしろ。」
→ MS信者「ちゃんと直してるMS偉い。」
Microsoft Azure、DNSの設定変更に失敗して全世界的に一時サービス障害
→ 一般人「これだからクラウドを作業ドライブとした設定でWordやExcelを使いたくない。」
→ MS信者「弘法も筆の誤り。なんかホッとする。」
macOS Mojave 10.14.5やiOS 12.3で「令和」がサポートされる
→ 一般人「(Macなんて使ってないんでスルー)」
→ MS信者「延長サポートのはずのWindows 7/8.1にまで令和対応パッチが提供されるWindowsのほうがおかしい」 ← Macのストーリーなんですが…
結論:
Microsoft信者の信仰心は、かつてのマカーを越えている。
Re: (スコア:0)
20年前、スラッシュドットジャパンが立ち上がったときには、アンチMS一色でしたからねえ
Re: (スコア:0)
そういう感じとは違う気がする。
20年前だとMSが若干マシな傾向が出てくるかこないかぐらいで、世間的には強い嫌悪の対象だったと思うけど、
スラド自体は穏やかなサイトで、アンチやるにしてももう少しスマートな振る舞いをしていた気がするな。
Re: (スコア:0)
独自規格の道を突っ走ってましたからね。標準化？俺が標準だ！みたいな。
IE4、IE6への呪詛が開発室から聞こえてきそうな……
Re:サポート終了しても (スコア:1)
今回のは産業用のような電源入ってネットに繋がってるだけって端末も攻撃条件を満たすからな。
クライアントPCとして使わないPCすら問答無用で陥落していくと周囲の最新PCすら迷惑を被る。
それを回避するための意味合いでみれば、
クライアントPCとしての重大な危険性は手当する気が無くても不思議じゃない。
Re: (スコア:0)
どうぞ。
Re: (スコア:0)
「緊急の脆弱性」じゃなくて、「超ド級に危険な脆弱性」だよ。
Re: (スコア:0)
発券された脆弱性のヤバさを分かりやすく伝えるための演出と見た。
もっとヤバい天変地異級のが来たら、Windows3.1とかMS-DOS用のパッチまで出たりするんだ。
Re: (スコア:0)
今のWindowsから3.1やMS-DOSまで纏めて影響を受けるようなWindowsの脆弱性が見つかったら、それくらいのアレゲ事件は起きてもおかしくない。
まあWindows2000Serverとかは（隔離された環境だけど）令和になった今でも生きてる所はあるので、探せばWindows95ぐらいまでは現役機があっさり見つかるかもしれず。
# 今のPCだとVMでもWindows98とか爆速で動くから、ある意味、実用的かも？
Re: (スコア:0)
実験室や工場向けの機器の中に組み込まれてるケースはままあるかと。
歴史は繰り返す (スコア:0)
サポート切れでも、重大な問題があったから、特別な措置として、
XPに再び修正パッチがリリースされる [itmedia.co.jp]
# 一体、いつまで、生き続けるんだ？
Re: (スコア:0)
去年WannaCryで浮き彫りになった
工場での利用例があるので
まだまだ生き続けるだろ
生産ラインはそう簡単に弄らないだろうし
下手したら工場閉鎖まで残るだろ
Re: (スコア:0)
自己責任で使い続ける人にそこまでやる義理はあるのだろうか？
実際金出してるのは現行ユーザーなんだし
Re: (スコア:0)
XPを守ってるんじゃなくて
XPが感染することでの感染ルート拡大を危惧してるんだよ。
Re: (スコア:0)
でも、感染ルート先のPCはパッチ当てるんだよね、、といいつつ当てないんだろうけど、そういうダメなネットワークの塊をパッチ当てたPCで取り囲めばいいんじゃね？
囲まれたPCはいずれゾンビになるけど、兵糧攻めで一網打尽なイメージなんだが
逃げ遅れたXpや意識の低いPCユーザがいてもさっさとハッチ閉めちまえばいい
Re:歴史は繰り返す (スコア:1)
内部ネットワークに攻撃者が居るのと同等の状況ってのはアップデートを欠かさないPC群にとっても脅威足りうる。
社内ネットやCIFS/SAMBAのようなLANにしか公開しないサービスが攻撃しやすくなる。
ボットネットのノードになってしまう事も考えられるし、状況次第ではパケットも盗める。
ブルートフォース攻撃も外より遥かに高速高効率になるだろうし、IDSなんかも回避できる。
リスクを減らすに越したことない。
ていうかどうせXP全廃させるのは不可能なんだから
XP≒クラックされてる端末、なんて状況はイメージ悪すぎるし作るべきじゃない。
Re: (スコア:0)
XP Embeddedのメンテに金を出してるお客様がいるから、どうせパッチは作らないといけない。どうせ作るんなら出し惜しみする必要はない。
そういうこと。
Re: (スコア:0)
ならEmbeddedのサポート終了まで普通のXPもサポートしたったらええやん。
その分サポート料を請求したとしても、払うからXPのまま続けてくれって人少なくないと思うぞ。
XP! (スコア:0)
まじかよ！
大したもんだ。
パッチ要るのかね (スコア:0)
そもそもXPとか2003で放置してる人なんて、別の穴でやられそうですけど
Re: (スコア:0)
インターネットにはつながないけれど、社内システムや、家庭内でも特定デバイスやゲーム用として
生き残っているというのは結構あるんじゃないの? かくいう私も、仮想マシンではあるが、ゲーム用に
XPは残してる。
Re: (スコア:0)
うちもゲーム用の仮想マシンにXPあるな。
NIC無しになってるけど。
Re: (スコア:0)
大学の研究室ですが、XPで動いている機器はたくさんありますね。
計測器が多いですが、うちだとWindowsがのっている機器で半分
くらいはXPだと思う（もしくは2000)。アップデートもしない運用
（機器が動かなくなると困る）。ネットワークにはつないで
ません。うちはそこまでやってないけどUSBメモリ経由の感染も
怖いので新品のCD-Rによるデータの出力しか認めないというところ
もあります。
事情はいろいろあるけど、OSを入れ替えるのが非常に高額だったり
そもそも機器のサポートが終了していたり。もちろん装置自体が更新
できればいいわけだけど、そんなカネは全くない。ハードウェア自体
はまだまだ現役ですし。
個人や事務処理に使うPCだと機器とOSの更新のサイクルが一致してる
のでいいんだけど、研究用の機器だとそれがあわないのがね...
OSとは別だけど部品の供給も家電並の速さで終わってしまうケース
もあって、それも困るんですよね。
Re: (スコア:0)
拡散されると、現在サポート中のOSの被害が拡大するリスクがあるからだろうね
まだXPを使ってる人が狙い撃たれて（周囲を巻き込まずに）単独で死ぬだけなら、わざわざパッチ出さずに放置されるんじゃない？
Re: (スコア:0)
DDoSじゃないDoS脆弱性とかはまさにそれだろうね。
任意コードは不可能だがOSが落ちたり止まる脆弱性だと放置でも不思議じゃないわ。
Re: (スコア:0)
、先にコアハードの方に逝かれてしまうと安い手段では安定した替え方法がもう無いし、寧ろ貧乏だと既にXPはどうにも成りませんね。
10に来てからXPと同じ事するだけでもメモリー馬鹿食いになって辟易させられてますし。
Re: (スコア:0)
ネット繋がなきゃいいだけだよ。
ゲーム好きな年寄り親に
フリゲとかできるように設定したXPマシンあげて暇つぶしにしてるし。親の家にはネット環境自体がない。
XPであることに意味はないが、ただXPが普通だった頃に使ってた古いPCってだけ。
そのためにOS入れ替えるのはもったいないしな。
用途的にはXPで十分だし。最新ゲーやるわけじゃないから。
後自分用ではXPじゃないとまともに動かない（7以降起動はするが色々落ちまくる）ソフト用に環境は残してたりもする。
当然ネットには繋がずにな。
ここなら通じると思うが、例えばBNE2。
まあそこでパッチがいるかと言われれば
リモートの時点でネットだからいらないんだけどな。
そもそもパッチ当てようとしたらネット繋いで大惨事（になるかも）やんけ、とは思う。
逆にもはやXPの穴をわざわざ狙うために出待ちしてるようなやつはそれはそれでいるのか？っていう気もするが。
自分語りなげーよ (スコア:0)
出待ちの奴らはIPv4アドレス空間をしらみ潰しに当たるから数十分間あれば感染するよ。
Re: (スコア:0)
実際のところリモートから権限を取られる脆弱性なんて数えるほどしかないので、常識的な注意さえ払ってれば簡単にはやられないってことだよ。
特にXP以降はWindows FirewallがデフォルトでONなので、やれるもんならやってみろ状態。
軽度だろうがなんだろうが件数ベースではOSの欠陥が多かったのと、MSが過去の行いの悪さもあって過度に叩かれていた感がある。
本格的にヤバい奴はOSの脆弱性ではなくてFlashとかのサードパーティ製だし、しかもユーザが能動的に踏んでしまうことがトリガー。
逆に言えば、サポート切れてもパッチ撒くレベルの奴が本当の意味でのOSの脆弱性。
xrdpでつなげると (スコア:0)
ローカルでそのユーザーが以降ログイン出来ない
バグはどうなった？