こんにちは。
WSUS サポート担当の三島です。
2013 年 5 月の月例セキュリティ更新プログラムの公開より、「セキュリティ更新プログラム」 および 「セキュリティ アドバイザリ」 として配信される更新プログラムの公開について、運用に一部変更を加えさせて頂いております。
変更内容については、以下の弊社技術情報サイトでもご案内させて頂いておりますが、本ブログでは、より判りやすく変更点と変更理由を皆様にご案内させて頂きます。
Security advisories in the current landscape and the May 2013 bulletin release Changes to the classification of security content in advisories and bulletins
http://support.microsoft.com/kb/2849195
========
変更点
========
1. 多層防御の観点からリリースしたセキュリティ更新プログラム（※1）については、MSRC 重要度を 「指定なし」 で公開いたします。
- 変更前
クラス ： 「セキュリティ問題の修正プログラム」
MSRC 重要度 ： 「緊急」「重要」「警告」「注意」 のいずれかを設定しておりました。
- 変更後
クラス ： 「セキュリティ問題の修正プログラム」
MSRC 重要度 ： 「指定なし」 で今後公開いたします。
図 1 ： MS13-038 (KB2847204) の Internet Explorer 9 については多層防御の観点からセキュリティ更新プログラムが公開されております。そのため MSRC 重要度は 「指定なし」 となっております。(画像をクリックすると大きく表示されます。)
2. セキュリティ アドバイザリ（※2）で配信される更新プログラムは、セキュリティ問題の修正プログラムのクラスで公開いたします。
- 変更前
クラス ： 「重要な更新」あるいは「修正プログラム集」 などのセキュリティ以外のクラスで公開しておりました。
MSRC 重要度 ： 「指定なし」
- 変更後
クラス ： 「セキュリティ問題の修正プログラム」 のクラスで今後公開いたします。
MSRC 重要度 ： 「指定なし」
図 2.： KB2837285 はセキュリティ アドバイザリですが、「セキュリティ問題の修正プログラム」 のクラスで公開されております。 (画像をクリックすると大きく表示されます。)
- 補足：上記の変更は、2013 年 5 月の月例の公開日以降に新規あるいは更新で配信されるもののみが対象となります。
（※1）
影響を受けるコードが悪用されることはありませんが、影響を受けるコードが存在しているため、将来的に特定される可能性のある攻撃方法を防ぐために公開させていただくセキュリティ更新プログラムを指します。
例として、セキュリティ情報のサイトでは、以下のような内容で多層防御の観点からリリースした更新プログラムであるとご説明しております。
～～～
このセキュリティ更新プログラムは、Microsoft Windows 2000、Windows XP および Windows Server 2003 について、深刻度を「重要」と評価しています。Windows Server 2008、Windows Vista、Windows 7 および Windows Server 2008 R2 については、影響を受けるコードが悪用されることはありませんが、影響を受けるコードが存在しているため、多層防御としてこの更新プログラムが提供されており、深刻度の評価の対象とはなっていません。
～～～
（※2）
セキュリティ アドバイザリの詳細は、以下をご参照ください。
マイクロソフト セキュリティ アドバイザリ
http://technet.microsoft.com/ja-jp/security/advisory/
========
変更を行わせて頂いた理由
========
セキュリティ アドバイザリが「セキュリティ問題の修正プログラム」以外のクラスでリリースされる事によって、セキュリティの強化を目的とした更新プログラムである事を把握して配信する事が難しいとのご意見を多数頂いておりました。
今回の変更によって、「セキュリティ問題の修正プログラム」 を適用するだけで、セキュリティに関わる更新を把握・管理できるようにし、少しでも管理者様の運用・管理工数の軽減になれば幸いです。