Microsoft は、Windows に重大な変更をもたらす可能性があるという懸念から以前はカーネル情報漏えいの脆弱性を無効にしていた後、デフォルトですべてのユーザーに対してカーネル情報漏えいの脆弱性の修正を有効にしました。
この脆弱性はCVE-2023-32019として追跡されており、重大度範囲は中程度 4.7/10 で、Microsoft はこの欠陥の重大度を「重要」と評価しています。
このバグは Google Project Zero のセキュリティ研究者 Mateusz Jurczyk によって発見され、認証された攻撃者が特権プロセスのメモリにアクセスして情報を抽出することが可能になります。
この脆弱性が悪用されたとは考えられていませんが、Microsoft は当初、修正を無効にしてセキュリティ アップデートをリリースし、オペレーティング システムに重大な変更を引き起こす可能性があると警告していました。
「この記事で説明されている解決策は、重大な変更をもたらす可能性があります。そのため、デフォルトで無効になっている変更を有効にするオプションを付けてリリースします」とMicrosoftは説明した。
代わりに、Windows ユーザーは、HKEY_LOCAL_MACHINESYSTEMCurrentControlSetPoliciesMicrosoftFeatureManagementOverridesキーに次のレジストリ値を追加して、更新を手動で有効にする必要がありました。
- Windows 10 20H2、21H2、22H2:値データ 1 を持つ4103588492という名前の新しい DWORD レジストリ値を追加します。
- Windows 11 21H2:値データ 1 を持つ4204251788という名前の新しい DWORD レジストリ値を追加します。
- Windows 11 22H2:値データ 1 を持つ4237806220という名前の新しい DWORD レジストリ値を追加します。
- Windows Server 2022:値データ 1 を持つ4137142924という名前の新しい DWORD レジストリ値を追加します。
ただし、Microsoft は、このアップデートを有効にすることでどのような競合が発生する可能性があるかについては明らかにせず、将来的にはデフォルトで有効になるとだけ述べました。
この不確実性により、多くの Windows 管理者は、Windows インストールに問題が発生することを恐れて、修正プログラムを展開しませんでした。
Neowinによって最初に発見されたように、Microsoft は現在、 2023 年 8 月の Patch Tuesday アップデートで CVE-2023-32019 の修正をデフォルトで有効にしています。
「この記事で説明されている解決策は、デフォルトで有効化された状態でリリースされました。デフォルトで有効化された解決策を適用するには、2023 年 8 月 8 日以降の Windows 更新プログラムをインストールしてください。」 Microsoft はサポート速報の更新で次のように説明しています。
「ユーザーによるこれ以上のアクションは必要ありません。」
はこのアップデートについて多くの Windows 管理者と話をしましたが、この変更を有効にした場合の問題を報告した人は誰もいませんでした。
H/T noelprg4
Comments