ウイルス対策ソフトの落とし穴に注意

最新のウイルス定義ファイルを適用するとWindowsがフリーズするトラブルが発覚

山下眞一郎

2000.11.08

　前回のコラムでは，米Microsoftへの不正侵入について解説した。その中で，ウイルス対策ソフトのウイルス定義ファイル（パターン・ファイル）の更新を怠っていたことが，侵入を許した原因の1つであると述べた。ところが，先週末，最新のウイルス定義ファイルが原因で，Windowsがフリーズするというトラブル情報が飛び込んできた。システム運用の難しさと，的確な情報入手の必要性を，改めて思い知らされた出来事である。

　トラブルが発覚したのは，日本ネットワークアソシエイツのウイルス対策ソフト「McAfee VirusScan」。11月2日に公開されたウイルス定義ファイルを適用すると，起動時にWindowsがフリーズする場合があるとの情報が，メーリング・リストなどで報告された。これは，ウイルス定義ファイルと，ウイルスを検出するための「スキャンエンジン」の不整合が原因である。

　VirusScanは，ウイルス定義ファイルだけではなく，スキャンエンジンも更新することができる。もし「スキャンエンジン4.0.02」に対して，最新のウイルス定義ファイル「Dat4102」を適用すると，Windowsは起動時にフリーズする。

　この場合，Windows 9xでは，Windowsのセーフ・モードで強制的に起動し，VirusScanの「システムスキャン」を停止すると回避できる。しかし，Windows NTで，ファイル・システムにNTFSを使っている場合には，「修復ディスクを使用し，初期状態へ戻す」あるいは「リカバリCD等で復旧する」という復旧方法しかないとされており，事態はかなり深刻である。

　最新の「スキャンエンジン4.0.70」との組み合わせでは，問題はないとされているものの，「McAfee VirusScan」は数多くのメーカーのPCにプレインストールされており，ユーザー数は多い。そのため，古いバージョンのスキャンエンジンを使用しているユーザーも多いはずである。今回のトラブルが与える影響は大きいと考えられる。

　ところが，日本ネットワークアソシエイツのトップ・ページからは，今回のトラブルに関する情報へのリンクは存在しない（11月7日現在）。ぜひ，すべてのユーザーに分かるような形で，情報提供してほしい（IT Pro注：11月8日より，トップ・ページから，トラブルに関する情報へのリンクが張られた）。

　前回の「今週のSecurity Check」で，最新のウイルス定義ファイルを適用することは，必要最低限の不正アクセス対策であると述べたばかりであるが，今回のように，最新のウイルス定義ファイルの適用で，システムに多大な影響を及ぼすケースもある。今回のケースから分かるように，システム運用とは非常に難しいものである。的確な情報を素早く入手することが，最大の自己防衛策であろう。

新規のセキュリティ・ホール情報は4件，
IIS向けのパッチが再公開

　次に，最近のWindows関連のセキュリティ・トピックスを整理する。以下に11月3日時点の情報を，入手先ごとに整理した。

　まず，「Microsoft Security Bulletin」にて，Windows 2000シリーズのServer/Professional/Advanced Server/Datacenter Serverが影響を受ける（1）「ActiveX Parameter Validation」問題が公開された。Windows 2000に実装されたActiveXコントロールの，バッファのチェック漏れが原因である。

　不正なHTMLファイルやHTML形式の電子メールを使用したバッファ・オーバーフロー攻撃により，ターゲットにしたパソコン上のファイルを削除したり，ハード・ディスクを初期化することなどが可能となる。ローカルで実行可能な操作は，この攻撃によりほとんど可能であると考えてよいだろう。

　英語版用のパッチはリリースされたが日本語版はまだである。Internet Explorer（IE）やOutlook，Outlook Expressのセキュリティ・レベルを上げ，ActiveXが動作しないように設定すれば，回避できる。

　次に，Windows 2000に含まれるIndexing Servicesが影響を受ける（2）「Indexing Services Cross Site Scripting」問題が公開された。Internet Information Server（IIS）では，「(MS00-060) IIS クロスサイトスクリプティング」問題として，既に報告されている。

　この問題を利用すれば，悪意のあるWebサイト運営者が，他のWebサイトをユーザーの攻撃手段として利用できる可能性がある。英語版用のパッチはリリースされたが，日本語版はまだである。ただし，Indexing ServicesはWindows 2000に含まれるものの，自動起動はされない。クロスサイト・スクリプティング問題の詳細については，MicrosoftのFAQなどを参照してほしい。

　そして，Workstation版を除くWindows NT 4.0シリーズ，およびProfessional版を除くWindows 2000シリーズと，SMS 1.2/2.0が影響を受ける（3）「Netmon Protocol Parsing」問題が公開された。これは「ネットワーク・モニタ（Netmon）」に，バッファのチェック漏れがあることが原因である。悪意のあるユーザーが送信した，特別に改ざんしたフレームをネットワーク・モニタで解析すると，ネットワーク・モニタが停止してしまう。さらに，バッファ・オーバーフロー攻撃により，悪意のあるコードを，サーバー上で実行される可能性がある。

　英語版用のパッチは，ほとんどリリースされたが，日本語版はまだである。日本語版パッチがリリースされるまでは，ネットワーク・モニタの使用を停止した方がよいだろう。

　また，Exchange Server 5.5が影響を受ける（4）「Malformed MIME Header」問題が公開された。これは，特定の値が入ったMIMEヘッダ・フィールドを持つメールを送られると，Exchange Serverがサービス停止する可能性があるというものだ。

　Exchangeサービスを再起動し，そのメールを削除すれば，復旧は可能である。サーバー上の，他のユーザーの電子メールを削除したり，サーバーの管理者権限を奪うことなどはできない。英語版用のパッチはリリースされたが日本語版はまだである。Exchange Serverが停止すると，影響が大きいと考えられる場合には，末尾に紹介しているMicrosoft ダウンロードセンターのパッチを，自己判断および自己責任で適用してもよいだろう。

　最後に，Windows 2000に含まれるIIS 5.0とWindows NT 4.0用の最新版であるIIS 4.0が影響を受ける（5）「IIS Cross-Site Scripting」問題が更新された。既存のパッチでは対応できない，新たな攻撃バリエーションが発見されたため，それにも対応できるパッチが再リリースされた。

　英語版用のパッチは再リリースされたが，日本語版はまだである。もしも，日本語版のリリースまで待てない環境ならば，下に紹介しているMicrosoft ダウンロードセンターのパッチ（IIS 4.0のみ）を，自己判断および自己責任で適用することも考えられる。

日本語版レポート1件とアナウンスされていないパッチは3件，
IE 5.5のSP1も公開された

　「Microsoft Security Bulletin」のレポートが1件のみ，日本語化されて公開された。「ハイパーターミナルのバッファオーバーフロー」のぜい弱性に対する対策の情報だ。残念ながら，日本語版パッチは公開されていない。このぜい弱性に関する詳細は，過去の「今週のSecurity Check[Windows編]」でお知らせしている通りだ。

　「Microsoft ダウンロードセンター」では，「マイクロソフトセキュリティ情報」でアナウンスされていないパッチが3件公開された。（1）「(MS00-082)Patch Available for "Malformed MIME Header" Vulnerability」の修正を含む，Exchange 5.5 インフォメーションストア修正プログラムと，（2）「(MS00-081)『VM のファイルの読み取り』のぜい弱性に対する対策」のWindows 2000用パッチ，および（3）「(MS00-060)Patch Available for "IIS Cross-Site Scripting" Vulnerabilities」のIIS 4.0用パッチである。これらは，正式にはアナウンスされていないため，自己判断および自己責任で，検討あるいは適用してほしい。

　また，Internet Explorer 5.5 Service Pack 1 とインターネットツールも公開されている。Internet Explorer 5.5の各種バグが修正され，DHTMLとCSSのサポートの強化，印刷プレビューの強化等が含まれているようだ。

　■ 正式にはアナウンスされていない，Internet Explorer 5.5 Service Pack 1 とインターネットツール（2000年11月1日）

山下　眞一郎（Shinichiro Yamashita）
株式会社富士通南九州システムエンジニアリング
第二ソリューション事業部システムサービス部プロジェクト課長
yama@bears.ad.jp

　「今週のSecurity Check [Windows編]」は，IT Proセキュリティ・サイトが提供する週刊コラムです。Windows関連のセキュリティに精通し，「Winセキュリティ虎の穴」を運営する山下眞一郎氏に，Windowsセキュリティのニュースや動向を分かりやすく解説していただきます。（IT Pro編集部）