マイクロソフト、大規模な月例パッチ後に緊急修正プログラムを公開

マイクロソフトは月曜日、今月の大規模な過去最多件数となったパッチチューズデーに起因するいくつかの問題に対処するため、帯域外(out-of-band)アップデートを公開しました。

今回の緊急パッチは、先週明らかになったリモートデスクトップサービス(RDS)の問題に加え、先週配信された歴史的な規模のアップデートに伴ってHyper-V仮想マシンやUSBオーディオデバイスに生じた意図しない副作用を修正するものです。

9月のパッチチューズデーでは、実に974件の固有CVEに対処し、今年これまでの最多記録を更新しました。比較として、マイクロソフトが2023年全体で修正したCVEは909件でした。今回のリリースは、AIによって脆弱性報告が飛躍的に加速している実態を如実に示しており、CVE件数の驚くべき増加につながっています。またこれは、ソフトウェアベンダー各社が配信するアップデートの規模が拡大するにつれ、不具合のあるパッチが今後さらに一般的になる可能性を示唆しているとも言えます。

脅威インテリジェンス企業SOCRadarの最高情報セキュリティ責任者(CISO)であるEnsar Seker氏はDark Reading の取材に対し、「パッチの配信量が増え続けるにつれ、このリスクも高まると考えるべきだが、パッチが増えれば自動的にシステム障害も増えるという単純な関係ではない」と述べています。

Seker氏によれば、より根本的な問題は、相互に連結し合うオペレーティングシステム、クラウドサービス、仮想化プラットフォーム、ドライバー、ID管理コンポーネント、レガシー技術などが絡み合う、現代のテクノロジー環境の複雑さにあるといいます。「追加される依存関係やサポート対象の構成が増えるたびにテストのマトリクスは拡大し、パッチをリリースする前にあらゆる企業環境を再現することが極めて困難になっている」と同氏は説明します。

9月のパッチチューズデー問題の修正

マイクロソフトは金曜日にRDSの問題を明らかにし、一部の組織でパッチチューズデーのアップデート適用後に問題が発生する可能性があると注意を呼びかけていました。

マイクロソフトは稼働状況に関するアップデート情報の中で、「一部の環境ではRDSが不安定になり、RDP接続が数分後に失敗したり、サインインに問題が生じたり、サーバーが『リモートデスクトップの構成をお待ちください』の表示で停止したりする場合がある」と説明しています。「Microsoft管理コンソール(MMC)、RDSライセンスDiagnoser、エクスプローラーといった関連ツールも応答しなくなる可能性がある」としています。

マイクロソフトはさらに、Windows Updateのページが応答を停止し、読み込み中のインジケーターが表示され続ける場合があるとも述べています。加えて、9月のパッチチューズデーはHyper-Vにも問題を引き起こしており、Hyper-VベースのLinux仮想マシンで一部のホストフォルダー共有が突然利用できなくなったほか、マルチチャンネルモードの一部USBオーディオデバイスが起動しない、あるいは音が出ないといった不具合も発生しています。

Seker氏は、脆弱性の悪用がますます急速化している現状において、組織はより迅速なパッチ適用を求められる強いプレッシャーにさらされており、これが「セキュリティ上の緊急性と回帰テストとの間に避けられない緊張関係」を生み出していると指摘します。

「今回のリモートデスクトップサービスとHyper-Vをめぐる問題は、パッチ管理が事実上、業務の回復力(オペレーショナル・レジリエンス)の一部となっていることを示す好例だ」と同氏は述べます。「パッチの適用を遅らせれば、組織は実際の攻撃による悪用のリスクにさらされたままになる。しかし、問題のあるアップデートをそのまま本番環境に投入すれば、重要なサービスに支障をきたしかねない」。

Seker氏によれば、最善のアプローチは、すべてを即座に配信するのではなく、段階的な配信リング、実環境を模したテスト環境、ロールバック機能、強化された監視体制を活用し、リスクベースでパッチを適用することだといいます。

「パッチの配信量とソフトウェアの複雑さが増していく中で」と同氏は述べます。「組織は、ベンダーがリリース前にあらゆる意図しない副作用を排除してくれると期待するのではなく、パッチを安全に展開する能力そのものを高めていく必要がある」。

Fortraのセキュリティ研究開発担当associate directorであるTyler Reguly氏もこの見解に同意し、パッチが正しいものであるかを保証してくれる独立機関や規制当局は存在しないため、セキュリティチームは大規模展開の前にパッチの検証をこれまで以上に徹底する必要があると述べています。

「こうした外部からの安全網が存在しないからこそ、配信されたパッチを実際にテストすることが極めて重要であり、適切な検証を経ずにアップデートを即座に適用するような事態には決して陥ってはならない」とReguly氏は述べています。