Edge、Chrome 156の353件の修正はまだ 156の安定版は10月22日の週に

GoogleはChrome 156の安定版で、353件の脆弱性を直しました。同じChromiumを土台にするMicrosoft Edgeは、10月22日朝の時点で、この修正を取り込んだ版をまだ出していません。Microsoftの予定表では、Edge 156の安定版は「10月22日の週」です。会社でEdgeを標準のブラウザーにしている場合は、出たらすぐ配れるよう段取りを整えておきます。

Edgeの今の状況

Edgeのセキュリティのリリースノートの記載は、次のとおりです(10月22日朝に確認)。

JPCERT/CCは10月21日の週報で、10月16日の155.0.4283.62での修正を「Microsoft Edgeに複数の脆弱性」として取り上げています。一方、Chrome 156の353件にあたる修正は、10月20日の記載のあと、まだ出ていません。Chrome 156で直った中身は、Chrome 156の安定版で353件の脆弱性修正、深刻6件。会社のPCで確かめることでまとめています。

Edge 156は10月22日の週の予定

Microsoftの予定表では、Edge 156の安定版と延長安定版(Extended Stable)は、どちらも「10月22日の週」です。ベータ版は10月6日に出ています。続く157の安定版は11月5日の週、158は11月19日の週の予定です。

Chromeで直った問題のうち、どれがEdgeに当てはまるか、悪用されているものがあるかは、Microsoftの発表にまだ書かれていません。Edge 156が出たあと、Microsoftのセキュリティ更新プログラムガイドに、対象のCVEが順に載る見込みです(当社の見立て)。

なお、Edgeの安定版のリリースノートによると、10月15日の155.0.4283.60から、Edgeの管理サービス(Edge management service)で、セキュリティの修正を含む更新が出たときに知らせを受けられるようになっています。管理者が深刻度のしきい値を選ぶと、それ以上の修正やゼロデイの修正を含む更新が出たときに通知が届きます。

影響する会社・しない会社

• 影響する: 社用のPCでMicrosoft Edgeを使っている会社です。Windowsの標準のブラウザーのため、Chromeを配っていなくても、多くの社員が使っています。
• 影響する: Edgeの延長安定版を使う会社です。156は延長安定版でも同じ週に出る予定です。
• 影響しない(少ない): Edgeを使わず、Chromeを156.0.8078.47以降に上げた会社です。ほかのChromium系のブラウザーは、各社の発表を確かめます。

情シスが今日やること

1. 155.0.4283.62まで上がっているかを確かめる。 管理の仕組みで、社員のPCのEdgeの版を一覧にします。個別には、edge://settings/help で版を見ます。
2. 更新を止める設定が無いかを見る。 グループポリシーやIntuneで、Edgeの更新を止める設定や、版を固定する設定(TargetVersionPrefixなど)を入れていないかを確かめます。入れている場合は、156が出たらすぐ外す段取りにします(当社の見立て)。
3. 通知を受け取る。 Edgeの管理サービスを使っていれば、セキュリティの修正の通知のしきい値を設定しておきます。使っていなければ、セキュリティのリリースノートを毎日見る担当を決めます。
4. 156が出たら、再起動まで頼む。 Edgeは、閉じて開き直すまで古い版のままです。配ったあとに、再起動の期限を決めるか、社員に再起動を頼みます。