マイクロソフトも最近問題が発生しており、今度は一見簡単そうに見えるパッチが、2016 Anniversary Updateを実行している特定のノートパソコンに深刻な問題を引き起こしています。このアップデートは、もともとIEをゼロデイ攻撃から保護するためにリリースされたものです。

マイクロソフトによると、この問題は修正されているとのことです。

Internet Explorer のスクリプトエンジンがメモリ上のオブジェクトを処理する方法に、リモートでコードが実行される脆弱性が存在します。この脆弱性により、攻撃者が現在のユーザーのコンテキストで任意のコードを実行できるように、メモリが破損する可能性があります。この脆弱性の悪用に成功した攻撃者は、現在のユーザーと同じユーザー権限を取得することができます。現在のユーザーが管理者ユーザー権限でログオンしている場合、脆弱性の悪用に成功した攻撃者は、影響を受けるシステムを制御することができます。攻撃者は、プログラムのインストール、データの閲覧・変更・削除、完全なユーザー権限を持つ新しいアカウントの作成が可能になります。

Webベースの攻撃シナリオでは、攻撃者はInternet Explorerを通じて脆弱性を悪用するように特別に細工したWebサイトをホストし、電子メールを送るなどしてユーザーにそのWebサイトを閲覧するように仕向けることが可能です。

このセキュリティアップデートは、スクリプトエンジンがメモリ内のオブジェクトを処理する方法を修正することで、この脆弱性に対処しています。

しかし現在、この修正プログラム自体が、特定のノートパソコンが起動できなくなるという重大な問題を引き起こしています。影響を受けたマシンは、8GB未満のRAMで2016 Anniversary Update（1607）を実行しているLenovoのノートPCの小さなグループの一部に過ぎませんが、それでもかなりひどい問題であることに変わりはありません。

幸いなことに、UEFIで再起動し、Secure Bootを無効にすることで、ブート失敗を回避する方法があります。また、BitLockerが有効な場合、Secure Bootを無効にした後にBitLockerリカバリーを行う必要がある場合がある点にも注意が必要です。

一方、マイクロソフトはレノボと協力してこの問題を解決し、近いうちに修正版をリリースする予定です。ただ、年内には期待できない。それまでは、特にメモリに制限のあるレノボのノートパソコンなどでは、アップデートの際に注意が必要です。

MSPowerUser経由