Solarisマシンに感染してIISのページを改ざんするワームを米CERT/CCが警告

勝村幸博

2001.05.08

　米CERT/CCは米国時間5月8日，Solarisマシンに侵入して感染を広めるとともに，そのSolarisマシンからWindowsプラットフォームで動作している他のIIS（Microsoft Internet Information Server/Services）サーバーのWebページを改ざんするワーム「sadmind/IIS」を警告した。

　対象となるのは Solaris バージョン7 以前および IIS 4.0/5.0。Solarisマシンへの侵入には「sadmind」プログラムのセキュリティ・ホールを，WindowsプラットフォームのIISのWebページ改ざん時には「『Web サーバーフォルダへの侵入』のぜい弱性に対する対策」と呼ばれるセキュリティ・ホールを悪用する。いずれも古いセキュリティ・ホールで，パッチや回避方法が公開されている。回避策が公開されているにもかかわらず，被害が続いているもので，管理者は改めて確認する必要がある。

　まず，sadmind/IIS ワームはセキュリティ・ホールがあるSolarisマシンを見つけると侵入し，IIS サーバーのWebページを改ざんするためのプログラムをインストールする。

　侵入後，セキュリティ・ホールがある別のSolarisマシンを探し，見つけると自分自身をコピーして感染を広げる。併せて，ルート・ディレクトリの「.rhosts」ファイルに「+ +」を加えて，ほかのどのマシンからでも「rsh」や「rcp」といった「r-コマンド」を管理者権限で使えるようにしてしまう。

写真●「sadmind/IIS」ワームに改ざんされたとみられる，ある国内企業のWebページ

　さらに，侵入した Solaris マシンからセキュリティ・ホールがあるWindowsベースのIISサーバー・マシンを探し，発見するとそのページをリモートから改ざんする（写真）。ワームは改ざんを続け，2000台のIISマシンのWebページを改ざんした後，Solarisマシン内のindex.htmlも改ざんする。

　Solarisマシンにワームが侵入する際には sadmind のセキュリティ・ホールを悪用する。sadmind はリモートからシステム管理を行うためのプログラムで，Solaris 2.5/2.6/7 にデフォルトでインストールされている。Solaris 2.3 および 2.4 では，「Sun Solstice Adminsuite」パッケージをインストールした場合に sadmind がインストールされる。このセキュリティ・ホールは CERT/CC が99年12月に既に警告しており，米Sun Microsystems はパッチを公開している。また，sadmind を無効にすることでも影響を回避できる。

　ワームがIISサーバーのページを改ざんする際に悪用するセキュリティ・ホールも，既に公開されているものだ。マイクロソフトはこのセキュリティ・ホールを2000年10月に公開し，パッチも用意している。

　いずれもセキュリティ組織やベンダーから警告が出され，パッチなどが公開されているセキュリティ・ホールである。これらを放置したままのマシンがワームの“えじき”となっている。外部からアクセス可能な Solaris マシンおよび IIS サーバーを運用している管理者は改めて確認する必要がある。

　上記のセキュリティ・ホールを突けば，Solarisの場合には管理者権限，IIS（Windows）の場合には「IUSER_マシン名」の権限で任意のコマンドを実行できてしまう。そのため，今回警告されたワームよりも悪質なワームが登場する可能性はある。十分注意が必要だ。