米Microsoftは12月20日,Windows XP,およびWindows Millennium Edition(Windows Me)に,バッファ・オーバーフロー攻撃への対処が済んでいない,未チェックのバッファが見付かったとするセキュリティ情報(MS01-059)を公表した(該当サイト)。Windowsシステム向けのセキュリティ・ソフトなどを開発する米eEye Digital Securityが発見,Microsoftに報告した。

 未チェックのバッファはWindows XPおよびWindows Meに含まれるUniversal Plug and Play(UPnP)モジュール内で見付かった。UPnPは,ネットワークに接続されたデバイスを自動的に発見し,コンピュータから利用可能にする機能である。見付かった未チェックのバッファは,UPnP対応デバイスが自分自身に関する情報をネットワーク上に同報する“NOTIFY”メッセージの処理部分にある。NOTIFYメッセージに不正なプログラム・コードを紛れ込ませることで,外部から送り込んだ任意のコードをシステム権限で実行させることができる。誤ったサービス情報を同報してサービスを利用不能にする攻撃も可能な不具合も同時に見付かっている。

 Microsoftはこのぜい弱性を解消するパッチを併せて公表しており,該当するクライアント・マシンへのパッチの適用を呼びかけている。ネイティブでUPnPをサポートしているのはWindows XP,Windows Meの2種類で,これらのユーザーは必ずパッチを適用すべきである。Windows 98およびWindows 98 Second Edition(Windows 98SE)はネイティブではUPnPをサポートしていないが,Windows XPの「インターネット接続共有」機能のクライアント・モジュールをインストールした場合には同じモジュールがインストールされるため対処の必要がある。Windows NT/2000にはUPnP機能がなく,従ってこのぜい弱性を突かれることはない。

(斉藤 国博=日経Windowsプロ)