Microsoft が月例パッチをリリース ― IE パッチが含まれていないことに、セキュリティ専門家が驚く

米国 Microsoft は2014年最初の月例パッチをリリースした。Windows、Office、Dynamics AX に関連した6件の CVE に対応する4件のセキュリティ情報が公開されている。

【残りの画像を見る】

4件のセキュリティ情報の深刻度はどれも「重要」レベルに留まっており、「緊急」とされたものはない。4件のうち、「MS14-002」「MS14-003」はいずれも、Windows カーネルモード ドライバーの脆弱性により特権が昇格される問題に対応したもの。また、「MS14-004」は、Microsoft Dynamics AX の脆弱性により、サービス拒否（Denial-of-Service：DoS）が発生するという問題に対応したものだ。

そして、Microsoft が事前通知で予告していた通り、Internet Explorer（IE）に関する修正は含まれていなかった。この事実はセキュリティ専門家を驚かせている。
 
CloudPassage の上級ディレクターである Andrew Storms 氏は eWeek に対し、今月のパッチに IE が含まれなかったことに驚き、唖然としたと述べた。

「IE に関する未処理のバグが無くなったわけではないと思う。おそらく、Microsoft は今月リリースするパッチの検証が、十分にできなかったのではないだろうか。ホリデーシーズンの影響もあると思う」

Qualys の CTO である Wolfgang Kandek 氏も eWeek に対し、2014年最初の月例パッチに IE アップデートが無いことに驚いたと語った。

「（IE に対するパッチは）毎月リリースされるべきだ。だが、1月のリリースに間に合ったパッチがなかったのは明らかだ」

Tripwire の Tyler Reguly 氏は eWeek に対し、IE パッチがリリースされない月は以前にもあったことを指摘した。

「近い将来（おそらくは2月）、通常の IE パッチが戻ってくるのは間違いないだろう」

1月の月例パッチでは IE のパッチがなかったことだけでなく、全体のパッチ数が少なかったことも注目に値する。だが Microsoft がセキュリティに関する緊急事態を見逃しているわけではなさそうだ。Storms 氏、Kandek 氏そして Reguly 氏は、現時点では Microsoft が緊急に対応しなければならないアクティブなゼロデイ脆弱性は、彼らの知る限りないと述べている。…