Microsoft Windows の脆弱性（CVE-2024-43461）

何が起きた

Windows の Web 表示の部品 MSHTML に、大事な情報を画面上で正しく見せず、Web ページやファイルを別物に見せかけられる弱点（なりすまし）が見つかりました。CISA の KEV に載っており、実際の悪用が確認されています。Microsoft によると、2024年7月より前に CVE-2024-38112 と組み合わせた攻撃の一部として悪用されていました。NVD の評価では、ネットワーク経由で、ログイン不要の攻撃者が悪用できますが、利用者の操作が必要です。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Microsoft によると、サポート中のすべての Windows（Windows 10、Windows 11、Windows Server 2008 から Windows Server 2022 まで）が影響を受けます。MSHTML は Microsoft Edge の Internet Explorer モードや、ほかのアプリからも使われています。

何をすればいい

Microsoft は2024年9月の更新で修正しています。公式の案内を確認し、2024年7月と2024年9月の両方の更新を入れてください。たとえば Windows 11 Version 23H2 は KB5043076、Windows 10 Version 22H2 は KB5043064 です。Security Only 更新を使っている場合は、IE 累積更新も入れるよう Microsoft は勧めています。

やることチェックリスト

• 2024年9月の Windows 更新を入れる
• 2024年7月の Windows 更新も入れる
• Security Only 更新なら IE 累積更新も入れる

用語メモ

MSHTML

Windows に入っている、Web ページを表示するための部品です。Internet Explorer モードなどで使われます。

Internet Explorer モード

Microsoft Edge の中で、古い Internet Explorer 向けのページを表示するための機能です。

なりすまし

本物ではないものを本物のように見せかけて、利用者をだますことです。

IE 累積更新

MSHTML などの修正をまとめて入れる、Internet Explorer 関連の更新プログラムです。