今月のマイクロソフトパッチリリースブログをお届けします。今回の月例パッチ（Patch Tuesday）リリースは、本プログラムの開始以来最大となっています。49 件の脆弱性を対象として 16 のセキュリティ情報がリリースされており、その中には Stuxnet に悪用されているゼロデイ脆弱性も含まれています。
このうち 5 件が「緊急」レベルであり、Internet Explorer、Embedded OpenType フォント、.NET、Media Player がその影響を受けます。今月のパッチで対処されている問題の大半は Excel（13 件）、Office（11 件）、Internet Explorer（10 件）を対象としたものです。その他の脆弱性は、Windows のカーネルモードドライバ、SChannel、OpenType フォント、共有クラスタディスク、コモンコントロールライブラリ、ローカルプロシージャコール（LPC）、Microsoft Foundation Classes（MFC）、Active Template Library、SharePoint、Groove に影響します。
いつものことですが、ベストプラクティスとして以下のセキュリティ対策を講じることを推奨します。
- ベンダーのパッチが公開されたら、できるだけ速やかにインストールする。
- ソフトウェアはすべて、必要な機能を使える最小限の権限で実行する。
- 未知の、または疑わしいソースからのファイルは扱わない。
- 整合性が未知の、または疑わしいサイトには絶対にアクセスしない。
- 特定のアクセスが必要な場合を除いて、ネットワークの周辺部では重要なシステムへの外部からのアクセスを遮断する。
マイクロソフトの 10 月のリリースに関する概要は、次のページで公開されています。
http://www.microsoft.com/japan/technet/security/bulletin/ms10-oct.mspx
今月のパッチで対処されている問題の中でも特に注意すべきものについて、詳しい情報を以下に示します。
1. MS10-071 Internet Explorer 用の累積的なセキュリティ更新プログラム（2360131）
CVE-2010-0808（BID 43695）Microsoft Internet Explorer のオートコンプリートに情報漏えいの脆弱性（MS の深刻度: 警告/シマンテックの重大度: 6.7/10）
Internet Explorer のオートコンプリート機能に影響する、情報漏えいの脆弱性が存在します。攻撃者はこの脆弱性を悪用して、無警戒なユーザーを狙って、悪質なコンテンツの含まれる Web ページを閲覧させるよう誘き寄せる場合があります。悪用されると、潜在的に重要な情報が漏えいしてしまいます。
CVE-2010-3243（BID 43703）Microsoft Internet Explorer の toStaticHTML による HTML サニタイズに情報漏えいの脆弱性（MS の深刻度: 重要/シマンテックの重大度: 5.7/10）
Internet Explorer の 'toStaticHtml' API に影響する、クロスサイトスクリプティングの脆弱性が存在します。攻撃者はこの脆弱性を悪用して、目的のセキュリティ制限を回避し、現在ログインしているユーザーのコンテキストで任意のスクリプトコードを実行する場合があります。
CVE-2010-3324（BID 42467）Internet Explorer 8 の toStaticHTML() に HTML サニタイズがバイパスされる弱点（MS の深刻度: 重要/シマンテックの重大度: 5.7/10)
Internet Explorer の 'toStaticHtml' API に影響する、クロスサイトスクリプティングの脆弱性が、すでに知られています（2010 年 8 月 16 日）。攻撃者はこの脆弱性を悪用して、目的のセキュリティ制限を回避し、現在ログインしているユーザーのコンテキストで任意のスクリプトコードを実行する場合があります。
CVE-2010-3325（BID 42993）Microsoft Internet Explorer の CSS 処理にクロスドメインでの情報漏えいの脆弱性（MS の深刻度: 重要/シマンテックの重大度: 5.7/10）
CSS（Cascading Style Sheet）の特殊文字を処理するときの Internet Explorer に影響する、クロスドメインでの情報漏えいの問題が存在します。攻撃者はこの脆弱性を悪用して、無警戒なユーザーを狙って、悪質な Web ページを閲覧させるよう誘き寄せる場合があります。悪用されると、潜在的に重要なコンテンツがドメインを越えて漏えいしてしまいます。
CVE-2010-3326（BID 43696）Microsoft Internet Explorer の初期化されていないメモリにリモートコード実行の脆弱性（MS の深刻度: 緊急/シマンテックの重大度: 7.1/10）
正しく初期化されていないオブジェクトまたは削除されたオブジェクトにアクセスするときの Internet Explorer に影響する、リモートコード実行の脆弱性が存在します。攻撃者はこの脆弱性を悪用して、無警戒なユーザーを狙って、悪質なコンテンツの含まれる Web ページを閲覧させるよう誘き寄せる場合があります。悪用されると、攻撃者が組み込んだ任意のコードが、現在ログインしているユーザーのコンテキストで実行されてしまいます。
CVE-2010-3327（BID 43704）Microsoft Internet Explorer の Anchor 要素に情報漏えいの脆弱性（MS の深刻度: 警告/シマンテックの重大度: 5.7/10）
'Anchor' 要素が正しく処理されないことにより Internet Explorer に影響する、情報漏えいの脆弱性が存在します。これが原因で、削除するデータが適切に削除されず、重要な情報が漏えいしてしまう可能性があります。
CVE-2010-3328（BID 43705）Microsoft Internet Explorer の初期化されていないメモリにリモートコード実行の脆弱性（MS の深刻度: 緊急/シマンテックの重大度: 7.1/10）
正しく初期化されていないオブジェクトまたは削除されたオブジェクトにアクセスするときの Internet Explorer に影響する、リモートコード実行の脆弱性が存在します。攻撃者はこの脆弱性を悪用して、無警戒なユーザーを狙って、悪質なコンテンツの含まれる Web ページを閲覧させるよう誘き寄せる場合があります。悪用されると、攻撃者が組み込んだ任意のコードが、現在ログインしているユーザーのコンテキストで実行されてしまいます。
CVE-2010-3329（BID 43706）Microsoft Internet Explorer の初期化されていないメモリに Word 文書でのリモートコード実行の脆弱性（MS の深刻度: 重要/シマンテックの重大度: 7.1/10）
正しく初期化されていないオブジェクトまたは削除されたオブジェクトにアクセスするときの Internet Explorer に影響する、リモートコード実行の脆弱性が存在します。攻撃者はこの脆弱性を悪用して、無警戒なユーザーを狙って、悪質なコンテンツの含まれる Web ページを閲覧させるよう誘き寄せる場合があります。悪用されると、攻撃者が組み込んだ任意のコードが、現在ログインしているユーザーのコンテキストで実行されてしまいます。
CVE-2010-3330（BID 43709）Microsoft Internet Explorer にクロスドメインでの情報漏えいの脆弱性（MS の深刻度: 重要/シマンテックの重大度: 5.7/10）
CSS（Cascading Style Sheet）データを処理するときの Internet Explorer に影響する、クロスドメインでの情報漏えいの問題が存在します。攻撃者はこの脆弱性を悪用して、無警戒なユーザーを狙って、悪質な Web ページを閲覧させるよう誘き寄せる場合があります。悪用されると、潜在的に重要なコンテンツがドメインを越えて漏えいしてしまいます。
CVE-2010-3331（BID 43707）Microsoft Internet Explorer の初期化されていないメモリにリモートコード実行の脆弱性（MS の深刻度: 重要/シマンテックの重大度: 7.1/10）
正しく初期化されていないオブジェクトまたは削除されたオブジェクトにアクセスするときの Internet Explorer に影響する、リモートコード実行の脆弱性が存在します。攻撃者はこの脆弱性を悪用して、無警戒なユーザーを狙って、悪質なコンテンツの含まれる Web ページを閲覧させるよう誘き寄せる場合があります。悪用されると、攻撃者が組み込んだ任意のコードが、現在ログインしているユーザーのコンテキストで実行されてしまいます。
2. MS10-076 Embedded OpenType フォントエンジンの脆弱性により、リモートでコードが実行される（982132）
CVE-2010-1883（BID 43775）Microsoft Windows の Embedded OpenType フォントエンジンに整数オーバーフローによるリモートコード実行の脆弱性（MS の深刻度: 緊急/シマンテックの重大度: 7.1/10）
埋め込まれたフォントで特定のテーブルを解析するときの Windows Embedded OpenType フォントテクノロジに影響する、リモートコード実行の脆弱性が存在します。攻撃者はこの脆弱性を悪用して、無警戒なユーザーを狙って、フォントの埋め込まれている電子メール添付ファイルや Web ページを閲覧させるよう誘き寄せる場合があります。悪用されると、攻撃者が組み込んだ任意のコードが、現在ログインしているユーザーのコンテキストで実行されてしまいます。
3. MS10-079 Microsoft Word の脆弱性により、リモートでコードが実行される（2293194）
マイクロソフトは、Word に存在する 11 件のリモートコード実行の脆弱性に対処しています。攻撃者はこの脆弱性を悪用して、無警戒なユーザーを狙って、悪質な Word ファイルを開かせるよう誘き寄せる場合があります。悪用されると、攻撃者が組み込んだ任意のコードが、現在ログインしているユーザーのコンテキストで実行されてしまいます。
CVE-2010-2747（BID 43754）Microsoft Word の初期化されていないポインタにリモートコード実行の脆弱性（MS の深刻度: 重要/シマンテックの重大度: 7.1/10）
CVE-2010-2748（BID 43765）Microsoft Word にリモートコード実行の脆弱性（MS の深刻度: 重要/シマンテックの重大度: 7.1/10）
CVE-2010-2750（BID 43766）Microsoft Word でのインデックス値の処理にリモートコード実行の脆弱性（MS の深刻度: 重要/シマンテックの重大度: 7.1/10）
CVE-2010-3214（BID 43760）Microsoft Word にリモートコード実行の脆弱性（MS の深刻度: 重要/シマンテックの重大度: 7.1/10）
CVE-2010-3215（BID 43767）Microsoft Word での戻り値の処理にリモートコード実行の脆弱性（MS の深刻度: 重要/シマンテックの重大度: 7.1/10）
CVE-2010-3216（BID 43769）Microsoft Word でのブックマークの処理にリモートコード実行の脆弱性（MS の深刻度: 重要/シマンテックの重大度: 7.1/10）
CVE-2010-3217（BID 43770）Microsoft Word にリモートコード実行の脆弱性（MS の深刻度: 重要/シマンテックの重大度: 7.1/10）
CVE-2010-3218（BID 43771）Microsoft Word での不正な形式のレコード値にリモートコード実行の脆弱性（MS の深刻度: 重要/シマンテックの重大度: 7.1/10）
CVE-2010-3219（BID 43782）Microsoft Word でのインデックス値の解析にリモートコード実行の脆弱性（MS の深刻度: 重要/シマンテックの重大度: 7.1/10）
CVE-2010-3220（BID 43783）Microsoft Word にリモートコード実行の脆弱性（MS の深刻度: 重要/シマンテックの重大度: 7.1/10）
CVE-2010-3221（BID 43784）Microsoft Word でのレコード値の解析にリモートコード実行の脆弱性（MS の深刻度: 重要/シマンテックの重大度: 7.1/10）
4. MS10-080 Microsoft Excel の脆弱性により、リモートでコードが実行される（2293211）
マイクロソフトは、Excel に存在する 13 件のリモートコード実行の脆弱性に対処しています。攻撃者はこの脆弱性を悪用して、無警戒なユーザーを狙って、悪質な Excel ファイルを開かせるよう誘き寄せる場合があります。悪用されると、攻撃者が組み込んだ任意のコードが、現在ログインしているユーザーのコンテキストで実行されてしまいます。
CVE-2010-3230（BID 43643）Microsoft Excel でのレコードの解析（CVE-2010-3230）に整数オーバーフローの脆弱性（MS の深刻度: 重要/シマンテックの重大度: 7.1/10）
CVE-2010-3231（BID 43647）Microsoft Excel でのレコードの解析にリモートメモリ破損の脆弱性（MS の深刻度: 重要/シマンテックの重大度: 7.1/10）
CVE-2010-3232（BID 43646）Microsoft Excel でのレコード形式の解析にリモートコード実行の脆弱性（MS の深刻度: 重要/シマンテックの重大度: 7.1/10）
CVE-2010-3233（BID 43644）Microsoft Excel での Lotus 1-2-3 ワークブックの解析にリモートコード実行の脆弱性（MS の深刻度: 重要/シマンテックの重大度: 7.1/10）
CVE-2010-3234（BID 43649）Microsoft Excel の式のサブストリームにメモリ破損の脆弱性（MS の深刻度: 重要/シマンテックの重大度: 7.1/10）
CVE-2010-3235（BID 43650）Microsoft Excel での BIFF レコードの解析にリモートコード実行の脆弱性（MS の深刻度: 重要/シマンテックの重大度: 7.1/10）
CVE-2010-3236（BID 43651）Microsoft Excel の境界外の配列にリモートコード実行の脆弱性（MS の深刻度: 重要/シマンテックの重大度: 7.1/10）
CVE-2010-3237（BID 43652）Microsoft Excel でのセル結合のレコードポインタにリモートコード実行の脆弱性（MS の深刻度: 重要/シマンテックの重大度: 7.1/10）
CVE-2010-3238（BID 43653）Microsoft Excel の Negative Future Function にリモートコード実行の脆弱性（MS の深刻度: 重要/シマンテックの重大度: 7.1/10）
CVE-2010-3239（BID 43654）Microsoft Excel でのレコード検証にリモートコード実行の脆弱性（MS の深刻度: 重要/シマンテックの重大度: 7.1/10）
CVE-2010-3240（BID 43655）Microsoft Excel でのレコード検証にリモートコード実行の脆弱性（MS の深刻度: 重要/シマンテックの重大度: 7.1/10）
CVE-2010-3241（BID 43656）Microsoft Excel による境界外メモリの書き込みにリモートコード実行の脆弱性（MS の深刻度: 重要/シマンテックの重大度: 7.1/10）
CVE-2010-3242（BID 43657）Microsoft Excel の非実体レコードタイプにリモートコード実行の脆弱性（MS の深刻度: 重要/シマンテックの重大度: 7.1/10）
5. MS10-082 Windows Media Player の脆弱性により、リモートでコードが実行される（2378111）
CVE-2010-2745（BID 43772）Microsoft Windows Media Player にリモートコード実行の脆弱性（MS の深刻度: 重要/シマンテックの重大度: 7.1/10）
Web ブラウザにおける再ロード操作中にオブジェクトの割り当て解除が正しく行われないことにより Media Player に影響する、リモートコード実行の脆弱性が存在します。攻撃者はこの脆弱性を悪用して、無警戒なユーザーを狙って、悪質なコンテンツの含まれる Web ページを閲覧させるよう誘き寄せる場合があります。悪用されると、攻撃者が組み込んだ任意のコードが、現在ログインしているユーザーのコンテキストで実行されてしまいます。
6. MS10-075 Media Player ネットワーク共有サービスの脆弱性により、リモートでコードが実行される（2281679）
CVE-2010-3225（BID 43776）Windows Media Player ネットワーク共有サービスでの RTSP における解放後使用によるリモートコード実行の脆弱性（MS の深刻度: 緊急/シマンテックの重大度: 7.8/10）
RTSP（Real Time Streaming Protocol）パケットを処理するときの Windows Media Player ネットワーク共有サービスに影響する、リモートコード実行の脆弱性が存在します。攻撃者はこの脆弱性を悪用して、特別に細工した RTSP パケットを脆弱なコンピュータに送信する場合があります。悪用されると、攻撃者が組み込んだ任意のコードが、ネットワークサービスアカウントのコンテキストで実行されてしまいます。
今回取り上げた以外のものも含め、今月対処されている脆弱性についての詳しい情報は、シマンテックが無償で公開している SecurityFocus ポータルでご覧いただくことができ、製品をご利用のお客様は DeepSight Threat Management System を通じても情報を入手できます。