古い「Internet Explorer」が呼び出される脆弱性…7月のWindowsアップデートで修正

– 7月9日(現地時間)、セキュリティベンダーのCheckPoint社より、Windowsにおいて長らく未修正だった脆弱性「CVE-2024-38112」について注意喚起が出されています。

– 脆弱性はWindowsのMSHTMLプラットフォームに存在し、不正な「.url」拡張子のファイルにより、既に廃止されたWebブラウザーである「Internet Explorer(IE)」を呼び出され、IEの脆弱性を悪用する攻撃に繋がる可能性があるとしています。

– 脆弱性は同日にマイクロソフト(以下・MS)よりリリースされた月例のアップデートで修正されましたが、CheckPoint社ではこれを悪用した攻撃が2023年1月から確認されていたとしています。

– CheckPoint社ではIPS等同社製品で脆弱性を悪用するファイルを遮断するよう対応したとしており、一方でWindowsユーザーに対しアップデートの適用を強く推奨しています。

– 7月17日(日本時間)、東京ガスとグループ会社の東京ガスエンジニアリングソリューションズ株式会社(以下・TGES社)より、TGES社が保持していた個人情報が同社への不正アクセスにより流出した可能性があると発表されました。

– 被害を受けたとされるのは大きく三種類に分類され、(1)TGES社が「業務上必要な情報として業務委託元から提供を受けている一般消費者」約416万人分の氏名・住所・連絡先等(東京ガスとの「家庭用の都市ガス、電気などの契約情報」は含まれないとのことです)、(2)「法人用の都市ガス、電気、サービス」で取引のあった法人等の所属者(人数は調査中とのこと)の氏名・メールアドレス等業務上連絡先・金融機関口座番号・マイナンバー情報等(クレジットカード情報は含まないとのこと)、および(3)TGES社従業員(退職者含む)約3,000人分の氏名・住所・金融機関口座番号情報(約1,000件)・クレジットカード情報(8件)、とのことです。

– TGES社のネットワークが不正アクセスを受け、同社および東京ガス社のサーバーに保管されている情報について流出した可能性があることが7月9日に判明したとしています。