Microsoft Defender のリモートコード実行の脆弱性（CVE-2021-1647）

何が起きた

Microsoft Defender などのウイルス対策ソフトが使う Microsoft Malware Protection Engine（ファイルを検査する仕組み）に、リモートでのコード実行につながる弱点が見つかりました。NVD の評価では、対象の機器の上で、一般利用者程度の権限を持つ攻撃者が悪用できるとされています。Microsoft もこの弱点が悪用されたとしており、CISA も悪用を確認しています。

誰が影響を受ける

Microsoft によると、Windows Defender、Microsoft Security Essentials、Microsoft System Center Endpoint Protection、System Center 2012 Endpoint Protection、System Center 2012 R2 Endpoint Protection が対象です。影響を受ける最後のエンジンのバージョンは 1.1.17600.5 です。Microsoft は、Microsoft Defender を無効にしている機器は悪用できる状態ではないとしています。

何をすればいい

Microsoft は、Microsoft Malware Protection Engine のバージョン 1.1.17700.4 でこの弱点を直しています。ふつうの設定ではエンジンと定義ファイルは自動で更新されるので、エンジンのバージョンが 1.1.17700.4 以降になっているか確認してください。企業の管理者は、エンジンの更新が自動で承認・配布されるよう設定されているか確認してください。公式の案内を確認してください。

やることチェックリスト

• エンジンが 1.1.17700.4 以降か確かめる
• エンジンと定義ファイルの自動更新を有効にする
• 管理ツールでエンジン更新の自動配布を設定する

用語メモ

Microsoft Malware Protection Engine

Microsoft のウイルス対策ソフトで、ファイルを検査して不正なプログラムを見つける中心の仕組みです。

定義ファイル

ウイルス対策ソフトが、不正なプログラムを見分けるために使う特徴のリストです。

リモートでのコード実行

攻撃者が、狙った機器の上で自分の好きなプログラムを動かせてしまうことです。