公開Webサーバーの統計調査などを実施している英Netcraftは現地時間4月14日，WindowsのSSL（Secure Sockets Layer）ライブラリに見つかったセキュリティ・ホールを改めて警告した。セキュリティ・ホールを突かれると，SSLを使用しているWindows 2000やNT 4.0のWebサーバー（SSLサーバー）が乗っ取られる可能性がある。SSLサーバーでは重要な情報をやり取りしている可能性が高いので，管理者は特に注意する必要がある。なお，このセキュリティ・ホールに関する情報やパッチは既に公開されている。
マイクロソフトは4月15日，Windowsに関するセキュリティ・ホールおよびパッチを複数公開した（関連記事）。Netcraftでは，特に「Microsoft Windowsのセキュリティ修正プログラム (835732) (MS04-011)」で公表されたセキュリティ・ホールの一つである「PCT の脆弱性」に関して注意を呼びかけている。
このセキュリティ・ホールは，マイクロソフトなどが開発したセキュリティ・プロトコル「PCT（Private Communications Transport）」の実装に関するものである。SSLライブラリを使用するプログラム――例えば，Webサーバー・ソフトIIS（Internet Information Server/Services）――へ細工が施されたデータを送られると，PCTの実装部分でバッファ・オーバーフローが発生して，任意のプログラムを実行させられる恐れがある。その結果，そのマシンを乗っ取られる可能性がある。
現在ではSSLを使うことが一般的で，PCTが使われることはほとんどない。しかしながら，PCTを処理するプログラムは，下位互換性のためにWindowsのSSLライブラリに含まれている。そして，Windows 2000やNT 4.0では，SSLを有効にすればPCTも有効になる。つまり，SSLを有効にしているWindows 2000やNT 4.0のWebサーバーなどでは，セキュリティ・ホールを突かれてマシンを乗っ取られる可能性がある。
SSLを使用するサーバーでは，重要な情報をやり取りする場合が多いので，乗っ取られると深刻な事態を招く。今回のセキュリティ・ホールを発見した米Internet Security Systems（ISS）では，「SSL は機密または価値の高い金融情報に関連する通信の保護に使われることが多く，しかもファイアウォールおよびパケット・フィルタリングだけでは攻撃を食い止めることができないため，この脆弱点の危険度は極めて高い」とし，「SSLによって保護されるWebサイトの持つ価値が高いことを考慮すると，攻撃者がこの脆弱点を積極的に狙うであろうと考えている」と警告している（日本法人による日本語訳）。
Netcraftの調査によると，2004年3月時点で13万2000を超えるWindows 2000／NT 4.0 のSSLサーバーがインターネット上に存在するという。これは，全SSLサーバーの45％にあたる。WindowsのSSLサーバーを運用している管理者は，すぐに対策を施す必要がある。具体的には，マイクロソフトが公開するパッチを適用する。レジストリを変更して，PCT サポートを無効に設定することでも回避できる（詳細は，セキュリティ情報の「回避策」の項を参照のこと）。
Netcraftのリリースには，「SSLを使っているサイトでは，通常のサイトよりも積極的なメンテナンスやパッチ適用が施されていると期待される。しかし，我々の過去の調査では，驚くほど緊急性が欠如した取り扱いをされていることがしばしばある」と記されている。攻撃者は価値が高いサイトを狙う。十分注意してほしい。
◆Microsoft SSL Vulnerability gives attackers opportunity to gain control of leading banking sites（英Netcraft）
◆Microsoft SSL Library Remote Compromise Vulnerability（米ISS）
◆Microsoft SSL ライブラリにおけるリモート セキュリティ侵害の脆弱点（インターネット セキュリティ システムズ）
◆CAN-2003-0719
◆マイクロソフト セキュリティ情報 (MS04-011) ： よく寄せられる質問
（勝村 幸博＝IT Pro）
