MicrosoftがWindows Defenderのゼロデイ脆弱性を修正する過程で、ウイルススキャン機能そのものが正常に動作しなくなる問題が発生していたことがわかりました。
ユーザーからは「クイックスキャンもフルスキャンも最後の数％でクラッシュする」「オフラインスキャンは91%で止まる」といった報告が寄せられており、Redditの複数のユーザーがイベントビュアーで、mpengine.dll関連のクラッシュ(エラーコード 0x000005)を確認しています。DefenderApiLoggerLowPrivセッションのエラーも数日間続いていたとのことです。
セキュリティ研究者Aryeh Goretsky氏は、影響を受けているのは以下のDefenderバージョンと定義ファイルの組み合わせだと指摘しています。
- Defender本体: v1.1.26070.7/v1.1.26080.2
- セキュリティインテリジェンス更新: 1.457.222.0 ～ 1.457.230.0
Microsoftから公式のアナウンスは出ていませんが、システムの復元で以前の定義ファイルに戻すと問題が解消することから、Defenderの更新が原因である可能性が高いと見られています。
背景にあるゼロデイ「ShieldBreak」
今回の混乱の背景には、研究者NightmareEclipseによる新たなローカル権限昇格(LPE)PoC「ShieldBreak」の公開があると考えられています。Microsoftはこれを急ぎ修正しようとしたものの、その過程でスキャン機能に影響が出たとみられています。
ゼロデイ対応のための更新が、ユーザーのセキュリティ運用を妨げる形になってしまったことは、Defenderの信頼性にとって痛手と言えるでしょう。
Microsoftが修正を開始、最新定義で改善
今回の一件は、ゼロデイ脆弱性への迅速な対応の副作用がユーザー環境に悪影響を与えた事例と言えます。
なお、この問題はその後公開されたDefenderの定義ファイル1.457.236.0によって解消されたとのことです。スキャンが正常に完了しない場合は、定義ファイルを最新に更新することで改善が期待できます。
[via Neowin]
