Microsoft Windows の範囲外書き込みの脆弱性（CVE-2021-34448）

何が起きた

Windows で、ウェブページなどに含まれるスクリプトを動かすスクリプトエンジンに、メモリを壊してしまう弱点が見つかりました。Microsoft によると、悪用されると攻撃者が離れた場所からプログラムを実行できるおそれがあります。NVD の評価では、ネットワーク経由で、権限のない攻撃者でも悪用できますが、利用者の操作が必要です。Microsoft も CISA も、実際の悪用を確認しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Microsoft によると、Windows 7 SP1、Windows 8.1、Windows RT 8.1、Windows 10 の各版と、Windows Server 2008 R2 SP1、2012、2012 R2、2016、2019 が対象です。修正は 2021年7月のセキュリティ更新で出されています。

何をすればいい

Windows Update などで、2021年7月以降のセキュリティ更新を当ててください。たとえば Windows 10 Version 2004、20H2、21H1 では KB5004237 が対象の更新です。Microsoft によると、攻撃者はメールなどで誘ってリンクを開かせ、細工したファイルを開かせる必要があるため、知らない相手からのリンクやファイルは開かないようにしましょう。メーカーの公式の案内も確認してください。

やることチェックリスト

• Windows Update でセキュリティ更新を当てる
• 2021年7月以降の更新が入っているか確かめる
• 知らない相手からのリンクやファイルを開かない

用語メモ

スクリプトエンジン

ウェブページなどに書かれた小さなプログラム（スクリプト）を読み取って動かす部品です。

セキュリティ更新

メーカーが弱点を直すために配る修正プログラムです。Windows では Windows Update で入ります。