Microsoft、2月の月例更新でInternet Explorerのゼロデイ脆弱性を修正

　headless曰く、

　Microsoftは11日に提供開始した2月の月例更新プログラムで、1月に公表していたInternet Explorer（IE）のゼロデイ脆弱性（CVE-2020-0674）を修正した（セキュリティ更新プログラムガイド）。

　CVE-2020-0674はjscript.dllがIEでメモリ内のオブジェクトを処理する方法に存在するもので、回避策としてjscript.dllのアクセス権を変更する方法が紹介されていた。しかし、この回避策を使用するとMicrosoft Print to PDFやWindows Media Player、Windows Scripting HostのJavaScriptエンジンが動作しなくなる問題が発生するほか、サードパーティーアプリケーションでも動作しなくなる問題が報告されている。

　月例更新プログラムでCVE-2020-0674が修正されたのは、バージョン1511と1703を除くWindows 10の全バージョンのほか、Windows 7 SP1/8.1/RT 8.1/Server 2008 SP2～2019となる。上述の回避策を使用している場合、セキュリティアドバイザリに従って更新の適用前に回避策を解除しておくことが必要となる。

　ただし、Microsoftが事前に予告していた通り、Windows 7/Server 2008でCVE-2020-0674の修正を含む2月の更新プログラム（KB4537820 / KB4537813 / KB4537767）が提供されるのは有料セキュリティアップデート（ESU）が有効なマシンのみ。更新プログラム自体はMicrosoft Updateカタログから入手することもできるが、ESUが有効でないWindows 7/Server 2008に適用すると再起動後に「Windows更新プログラムの構成に失敗しました/変更を元に戻しています」と表示され、更新プログラムの適用は失敗する。

　Windows 7では1月の更新プログラム適用後に一部の環境で壁紙が黒一色になる問題が発生し、プレビュー版のマンスリーロールアップですべてのユーザーに修正が提供されていたが、ESUが有効でない場合はこのプレビュー版が最後の更新プログラム提供となったようだ。

　スラドのコメントを読む | セキュリティセクション | セキュリティ | インターネットエクスプローラ | スラッシュバック | バグ

　関連ストーリー：
sudoに10年以上前から存在した特権昇格の脆弱性が修正される 2020年02月08日
ESP32マイコンに対応が困難な脆弱性が見つかる、ただし攻撃にはハードへの物理的なアクセスが必要 2020年02月06日
IntelのCPUで新たな脆弱性が発覚 2020年02月03日