Microsoft Windows の脆弱性（CVE-2024-43461）

何が起きた

Windows の Web 表示の部品 MSHTML に、大事な情報を画面上で正しく見せず、Web ページやファイルを別物に見せかけられる弱点（なりすまし）が見つかりました。CISA の KEV に載っており、実際の悪用が確認されています。Microsoft によると、2024年7月より前に CVE-2024-38112 と組み合わせた攻撃の一部として悪用されていました。NVD に登録された Microsoft の評価では、ネットワーク経由で、ログイン不要の攻撃者が悪用できますが、利用者の操作が必要です。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Microsoft によると、サポート中のすべての Windows（Windows 10、Windows 11、Windows Server 2008 から Windows Server 2022 まで）が影響を受けます。MSHTML は Microsoft Edge の Internet Explorer モードや、ほかのアプリからも使われています。

何をすればいい

Microsoft は2024年9月の更新で修正しています。公式の案内を確認し、2024年7月と2024年9月の両方の更新を入れてください。たとえば Windows 11 Version 23H2 は KB5043076、Windows 10 Version 22H2 は KB5043064 です。Security Only 更新を使っている場合は、IE 累積更新も入れるよう Microsoft は勧めています。

やることチェックリスト

• 2024年9月の Windows 更新を入れる
• 2024年7月の Windows 更新も入れる
• Security Only 更新なら IE 累積更新も入れる

用語メモ

MSHTML 用語集で見る

Windows に入っている、Web ページを表示するための部品です。Internet Explorer モードなどで使われます。

Internet Explorer モード 用語集で見る

Microsoft Edge の中で、古い Internet Explorer 向けのページを表示するための機能です。

なりすまし 用語集で見る

本物ではないものを本物のように見せかけて、利用者をだますことです。

IE 累積更新

MSHTML などの修正をまとめて入れる、Internet Explorer 関連の更新プログラムです。