Microsoft Windows の型の取り違えの脆弱性（CVE-2024-38178）

何が起きた

Microsoft Windows の Scripting Engine（Web ページの命令を処理する部品）に、メモリの扱いを誤る弱点が見つかりました。ネットワーク経由で、ログイン不要の攻撃者が悪用できますが、被害者が細工された URL をクリックする必要があります。Microsoft によると、悪用には、相手の機器が Edge の Internet Explorer モードを使う状態になっている必要があります。この弱点は、実際の攻撃での悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Microsoft Windows を使っている人や組織です。Microsoft の情報では、Windows 10、Windows 11、Windows Server 2012 R2 から Windows Server 2022 までの各版が対象として挙がっています。

何をすればいい

Windows Update などで、2024年8月以降のセキュリティ更新プログラムを適用してください。たとえば Windows 11 23H2 は KB5041585、Windows 10 22H2 は KB5041580 が対象の更新です。お使いの版ごとの更新番号は、Microsoft の公式の案内を確認してください。

やることチェックリスト

• Windows Update で2024年8月以降の更新を入れる
• Windows 11 23H2 は KB5041585 を適用する
• 知らない相手からのリンクを開かない

用語メモ

Internet Explorer モード

Microsoft Edge の中で、古い Internet Explorer 向けのページを表示するための機能です。

URL

Web ページなどの場所を表す文字列です。リンクをクリックすると、その URL のページが開きます。

Windows Update

Microsoft が配る修正や更新を、Windows に取り込む仕組みです。