今回のコラムも，最近のWindows関連のセキュリティ・トピックスを整理する。相変わらずWindows 9xのセキュリティ・ホールが続々報告されている。その一方で，Windows 2000については，日本語版のパッチが順調に公開されている。特筆すべきは，日本語の文字化け問題を解消した，Word用セキュリティ・パッチの再リリースである。
以下に10月12日時点の情報を，入手先ごとに整理した。 順に見ていこう。
新規のセキュリティ・ホール情報は4件，
「Share Level Password」問題は危険度が大きい
まず，「Microsoft Security Bulletin」にて，Windows 98/98SE/Meが影響を受ける，（1）「WebTV for Windows Denial of Service」問題が公開された。このセキュリティ・ホールを突けば，悪意があるユーザが，遠隔地の「Microsoft WebTV for Windows」が稼働するパソコンにDoS（Denial of Service：サービス続行不能）攻撃を仕掛けて，「Microsoft WebTV for Windows」やOSそのものをクラッシュさせることが可能である。
英語版用のパッチはリリースされたが日本語版はまだである。しかし，「Microsoft WebTV for Windows」はデフォルトではインストールされていないので，影響は小さいであろう。
次に，Windows 9x（95/98/98SE/Me）が影響を受ける（2）「Malformed IPX NMPI Packet」問題が公開された。NMPI (Name Management Protocol on IPX) リスナーが，本来は無視すべきネットワーク・ブロードキャスト・アドレスにもリプライしてしまうという問題である。NMPIとは，MicrosoftのIPX/SPX プロトコルを実現する「NWLink」に含まれるプロトコルである。この問題により，NMPIリスナーのリプライが連鎖反応的に広がって，ネットワークのトラフィックが異常に高まってしまう可能性がある。
この問題についても，英語版用のパッチはリリースされたが日本語版はまだである。しかし，Windows 98/98SE/Meの場合，デフォルトではIPX/SPXプロトコル対応機能は組み込まれない。また，Windows 95の場合も，デフォルトではLANカードが搭載されていた状況でのみ組み込まれるので，影響は小さいであろう。
そして，同じくWindows 9xが影響を受ける（3）「Share Level Password」問題が公開された。ファイルとプリンタの共有サービスの「シェア・レベル・アクセス」と呼ばれるパスワード保護機能にぜい弱性があり，パスワードを知らない利用者からもアクセスされる可能性があるというものだ。英語版用のパッチは一部リリースされたが，日本語版はまだである。Windows NTドメインの一部ならばこのセキュリティ・ホールの影響は受けないが，そうでない場合は，ファイルとプリンタの共有サービスをすぐに止めるべきだろう（[関連記事]へ）。
また，「マイクロソフト セキュリティ情報」にて，Microsoft Word 97/2000が影響を受ける（4）「Word の差し込み印刷機能」のぜい弱性に対する対策が公開された。このぜい弱性を悪用すれば，任意のユーザーが，承認なしでターゲットのコンピュータ上で任意のコードを実行できる可能性がある。英語版の修正パッチのみ公開されているが，これは日本語環境でも使用可能なので，至急適用しておこう。
Windows 2000は日本語版対応パッチが6件公開
「マイクロソフト セキュリティ情報」では，Windows 2000の日本語版対応パッチが次々と公開された。（1）「簡体字中国語用 IME の状態認識」のぜい弱性，（2）「無効な RPC パケット」のぜい弱性，（3）「ローカル セキュリティ ポリシーの破壊」のぜい弱性，（4）「サービス コントロール マネージャの名前付きパイプを利用したなりすまし」のぜい弱性，（5）「NetBIOS Name Server Protocol Spoofing」のぜい弱性に対応する5件のパッチだ。
「ローカル セキュリティ ポリシーの破壊」のぜい弱性に関しては，「Windows 2000 Service Pack 1（SP1）」に含まれているので，SP1を適用していれば気にする必要はないが，残りの4件については，内容をチェックして対応が必要なものは適用しておこう。
「Microsoft ダウンロード センター」では，「マイクロソフト セキュリティ情報」でアナウンスされていないWindows 2000用のパッチが1件公開された。（6）「(MS00-070) 『LPC 呼び出しおよび LPC ポート』の複数にわたるぜい弱性に対する対策」用パッチである。 これは，正式にはアナウンスされていないため，自己判断および自己責任で，検討あるいは適用する必要がある。
日本語の文字化け問題を解消した Word用のパッチがリリース
「Microsoft Office Update」においては，日本語の文字化け問題を解消したWord用のパッチが再リリースされた。このパッチは，コンピュータ・ウイルス対策のためのパッチである。ウイルスが「Word 2000 Visual Basic for Applications」の「EmailSend」コマンドを使って，電子メールでウイルス感染を広げることを防ぐ。
しかし，2000年7月28日から9月13日までの間公開されていたパッチ（wd2ksec.exe）には大きな問題があった。日本語版Word 95で作成した文書を，Word 2000で開いて上書き保存すると，日本語が化けてしまうのだ。これは，Word 2000が，95文書を英語Word 6.0/95ファイル形式で保存してしまうことが原因である。
今回公開されたパッチでは，この不具合を解消した。既に古いパッチをインストールしてしまっている場合でも，今回公開されたパッチを再度適用すれば，この不具合を解消できる。
ワープロ・ソフトにとって，文字化けトラブルは致命的である。確かに「Microsoft Office Update」のトップページには，重要なアップデートとして広報されているが，もう少し分かりやすい場所で告知をしてほしいものだ。
Microsoft Security Bulletin（英語情報）
■(MS00-074) Patch Available for "WebTV for Windows Denial of Service" Vulnerability (October 11, 2000)
■(MS00-073) Patch Available for "Malformed IPX NMPI Packet" Vulnerability (October 11, 2000)
■(MS00-072) Patch Available for "Share Level Password" Vulnerability (October 10, 2000)
マイクロソフト セキュリティ情報
■(MS00-071) 「Word の差し込み印刷機能」のぜい弱性に対する対策（回避方法公開：2000年10月12日）
■(MS00-070) 「LPC 呼び出しおよび LPC ポート」の複数にわたるぜい弱性に対する対策（日本語解説公開：2000年10月6日）
■(MS00-069) 「簡体字中国語用 IME の状態認識」のぜい弱性に対する対策（日本語版パッチ公開：2000年10月12日）
■(MS00-068) 「OCX コントロールの電子メールへの添付」のぜい弱性に対する対策（回避方法公開：2000年10月6日）
■(MS00-066) 「無効な RPC パケット」のぜい弱性に対する対策（日本語版パッチ公開：2000年10月11日）
■(MS00-062) 「ローカル セキュリティ ポリシーの破壊」のぜい弱性を解決する修正プログラム（日本語版パッチ正式公開：2000年10月11日）
■(MS00-053) 「サービス コントロール マネージャの名前付きパイプを利用したなりすまし」のぜい弱性に対する対策（日本語版パッチ正式公開：2000年10月5日）
■(MS00-047) 「NetBIOS Name Server Protocol Spoofing」のぜい弱性に対する対策（日本語版パッチ正式公開：2000年10月10日）
Microsoft ダウンロード センター
■(MS00-070) 「LPC 呼び出しおよび LPC ポート」の複数にわたるぜい弱性に対する対策
□Windows 2000用の正式にはアナウンスされていないパッチ（2000年10月10日)
Microsoft Office Update
■Word 2000 SR-1 セキュリティ アップデート：メール コマンド（2000年10月12日）
山下 眞一郎（Shinichiro Yamashita）
株式会社 富士通南九州システムエンジニアリング
第二ソリューション事業部システムサービス部 プロジェクト課長
yama@bears.ad.jp
「今週のSecurity Check [Windows編]」は，IT Proセキュリティ・サイトが提供する週刊コラムです。Windows関連のセキュリティに精通し，「Winセキュリティ虎の穴」を運営する山下眞一郎氏に，Windowsセキュリティのニュースや動向を分かりやすく解説していただきます。（IT Pro編集部）
