Microsoft Windows Media Playerの脆弱性を否定
「すべてのバージョンの「Windows Media Player」に脆弱性が存在」でお伝えしたWindows Media Playerの脆弱性だが，Microsoftはこれを否定したとのこと．Microsoft曰く，「これは既に内部検査で発見されていた問題であり，悪用されるような問題ではない」とのこと．
マイクロソフトがWindows Media Playerのバグの報告に対し否定のコメント - ZDNet
Microsoft refutes Media Player vulnerability - heiseSecurity
ZDNetによれば，今回の問題に関してMicrosoftは以下のように発言したらしい．
Microsoftは2008年12月25日に誤って報告されたMicrosoft Windows Media Playerに関する脆弱性の問題について承知している。Microsoftはこの申し立てについて調査を行い、製品の脆弱性ではないことがわかった。Microsoftは報告されたクラッシュは悪用することはできず、公開されたレポートで誤って述べられているような形で、攻撃者が任意のコードを実行することはできないことを確認した。
---中略---
われわれはこの問題について、内部の検証作業ですでに発見していた。その時点で、この問題は顧客のセキュリティリスクではなく、信頼性の問題だと適切に判断された。われわれはこのようなの信頼性の問題は、将来のサービスパックやそのプラットフォームの将来のバージョンで可能な限り修正したいと考えている。例えばこの特定のバグについては、すでにWindows Server 2003 Service Pack 2では修正されている。
今回の問題に関して，Microsoftは詳細情報を発表しており，それの要点は以下の通りである．
A more detailed evaluation points out that the problem is an un-handled CPU exception when executing a DIV instruction, that there is no memory corruption and the value is not used for memory allocation. Microsoft say they had already found the issue through internal fuzzing efforts, evaluated it as not being a security risk and that it had already been fixed in Windows Server 2003 Service Pack 2.
Microsoft refutes Media Player vulnerability - heiseSecurityより引用
詳細情報によれば，今回の問題はDIV命令実行時に未処理のCPU例外が発生することによるもので，メモリ破壊やその値がメモリアロケーションに使用されることはない．つまり，実行時例外によりクラッシュすることはあっても，攻撃者によって任意のコードが実行されるようなことはない．また，Microsoftは内部のファズテストでこの問題を既に発見しており，Windows Server 2003 Service Pack 2では既にこの問題は修正されている．
追記 2009/01/05 13:40
ZDNetに関連記事が挙がっていたので紹介．
MS、「Windows Media Player」の脆弱性を指摘するレポートを否定 - ZDNet
追記 2009/01/06 12:45
ITmediaに関連記事が挙がっていたので紹介．
