jpドメインのWebサーバーへの大規模なアタックが発生している。標的はIIS（Internet Information Server）だ。事態を重く見たIPA（情報処理振興事業協会）セキュリティセンターは，警告レポートを公開しているが，回避方法の説明が不十分なので注意が必要である。また，ユーザーの転送メールが盗み見される可能性がある「Email Wiretapping」問題が発覚したり，新規のセキュリティ・ホール情報が複数公開されるなど，セキュリティの話題には事欠かない1週間であった。
見過ごされている，MDACの深刻なセキュリティ・ホール
IPAセキュリティセンターから，2001年2月6日，Webサーバーへの大規模なアタック発生に関する警告レポートが公開された。2月初頭から，日本ドメイン（*.jp）のWebサーバーが次々とアタックされているという。特定のドメインが狙われているのではなく，すべてのjpドメインのサイトがアルファベット順で攻撃されている。特に，Windows NT/2000が稼働するサーバーでは，実際に改ざんが多数発生しており，IISが狙われているという指摘がなされている。
IPAでは，最初の公開から，3回にわたってレポートを更新し，内容の充実を図っている。アタックの回避方法も，IPAからの問い合わせに対するマイクロソフトの回答という形で掲載している。しかしながら，内容的にはまだ不十分である。
マイクロソフトの回答では，サービスパックや，年末年始に話題となった「『Web サーバーによるファイル要求の解析』」のぜい弱性に対する対策」のセキュリティ・パッチ，および「セキュリティ チェック リスト」について言及している。もちろん，これらも非常に重要な項目だ。しかし，まだまだ公開用サーバーのOSとして使われている，Windows NT 4.0の重大なセキュリティ・ホールに対する考慮が漏れている。
漏れているのは，1999年7月に報告された「MDAC（マイクロソフト・データ・アクセス・コンポーネント）のぜい弱性」と呼ばれるセキュリティ・ホールだ。IISが稼働しているNTシステム上で，権限がないユーザーが，特権ユーザーとしてシェル・コマンドを実行できてしまうという，影響度が非常に大きいセキュリティ・ホールである。
このセキュリティ・ホールは，Windows NT4.0オプションパックのデフォルトのインストレーションで組み込まれてしまうという，厄介な側面も持っている。最新のサービスパックを適用しても修正されないため，RDS（Remote Data Services）機能を明示的に利用しないシステムの場合，「/msadc」仮想ディレクトリを削除するか，特定のレジストリ・キーを削除して対応しなければならない。詳細については，FAQに記載されているので，参照してほしい。
このセキュリティ・ホールは，1999年12月にNIPC（米国国家インフラ防護センター）からも，「E-Commerce Vulnerabilities」として，改めて警告されている。古くて新しい問題である。確実に対応しておこう。
転送メールが“盗聴”される
Netscape MessengerやOutlookなどの，HTML/JavaScript対応の電子メールソフトで，ユーザーの転送メールが盗み見される可能性がある「Email Wiretapping」問題が，Privacy Foundationにより報告された（[関連記事]）。
このセキュリティ･ホールは，悪意のある電子メールの差出人が，受取人によって転送されたメールのコピーを秘密裏に入手できてしまうというものである。添付ファイル中にJavaScriptのあるスクリプトを潜ませておくことで，その電子メールの受取人が，HTML/JavaScript対応のメール・ソフトを使用するユーザーに転送した場合，その内容を自分に送らせることが可能となる。
JavaScript機能がデフォルトでオフになっているEudoraや，受信メールからJavaScriptを自動的に取り除く，HotmailなどのWebベースの電子メール・システムは影響を受けない。また，Netscape 6以前のNetscape Communicatorも影響を受けない。問題になるのは，デフォルトでJavaScript機能がオンになっている「Outlook」と「Outlook Express」, および「Netscape 6 Mail」などである。すぐにJavaScript機能を無効にすべきである。
なお，「Outlook 2000/98」の場合，このコラムでも何度か紹介している「電子メール セキュリティ・アップデート」を適用すれば，JavaScript機能は無効になる。また，「Netscape 6 Mail」では，バージョン6.01で，この問題に対応している。日本語版の「Netscape 6.01」も，現在ダウンロード可能である。
新規のセキュリティ・ホールは2件
上記以外の，Windows関連のセキュリティ・トピックス（2001年2月9日時点分）を整理する。「マイクロソフト セキュリティ情報」では，新規のセキュリティ・ホール情報が2件公開された。
まず，Windows NT 4.0 Workstation/Server/Server，Enterprise Edition/Server, Terminal Server Edition が影響を受ける，（1）「『NTLMSSP のアクセス権の昇格』のぜい弱性に対する対策」が公開された。これは，NTLMSSP（NTLM Security Support Provider）サービスの不具合が原因で，ローカルでログオンしているユーザーに，管理者レベルのアクセス権を取得される可能性があるというものだ。英語版パッチは公開されたが，残念ながら，日本語版パッチは公開されていない。
ただし，このセキュリティ・ホールを悪用してアタックするには，ターゲットのマシンに対話的ログオンを行う必要があり，リモートからはアタックできない。また，重要なサーバーへは，高い権限を持たないユーザーは対話的にログオンさせないことが，セキュリティ上のセオリーであるため，実質的な影響は小さいであろう。
次に，Windows 2000 Professional/Server/Advanced Serverが影響を受ける，（2）「『Network DDE Agent 要求』のぜい弱性に対する対策」が公開された。Network DDE Agentとは，異なるWindowsコンピュータ上のアプリケーション間で，データを動的に共有する技術であるDDE（Network Dynamic Data Exchange）の通信チャンネルを管理するサービスのことである。
このNetwork DDE Agent が，ユーザーのセキュリティ・コンテキストではなく，ローカル・システムのセキュリティ・コンテキストを使用して要求を処理することに問題がある。そのため，Network DDE Agent経由ならば，攻撃者はターゲットとしたマシンにおいて，ローカル・システム・コンテキストで任意のコードを実行することが可能となる。その結果，そのマシンを完全に制御できる可能性がある。
英語版パッチには「Security Bulletin」からリンクが張られているが，日本語版については，現時点では，レポートからはリンクが張られていない。しかし，後述するように，「ダウンロード センター」では公開されている。ぜひ適用しておこう。
というのも，このセキュリティ・ホールは深刻な事態を招く可能性があるからだ。（1）と同様，このセキュリティ・ホールを悪用するには，ターゲットのマシンに対話的ログオンを行う必要があり，リモート経由では対象外となる。そのため，一見影響は小さいと考えられる。ところが，マイクロソフトがFAQの中で述べているように，攻撃者が他のセキュリティ・ホールを利用してWebサーバーを攻撃し，そのサーバー上でコードを実行可能になった場合には，このセキュリティ・ホールが悪用される可能性がある。最初の攻撃を受けないようにすることが肝心ではあるが，念のため，このセキュリティ・ホールもふさいでおく必要がある。
日本語版の新規パッチは3件
「マイクロソフト セキュリティ情報」のレポートがアップデートされ，2件の日本語版パッチが公開された。（1）「『ディレクトリ サービス復元モードのパスワード』 のぜい弱性に対する対策」に関するWindows 2000用パッチと，（2）「『Shell の相対パス』のぜい弱性に対する対策」に関するWindows NT 4.0用パッチである。
それぞれ，（1）ターゲット・マシンに物理的にアクセスできることと，（2）ターゲット・マシンに対話型ログオンできることが，セキュリティ・ホールを悪用する前提条件である。そのため，影響度は小さく，パッチ適用は必須（ひっす）ではない。利用環境により，パッチ適用を判断しよう。
Microsoft ダウンロード センターでは，「マイクロソフト セキュリティ情報」ではアナウンスされていないパッチが1件新たに公開されている。前述した（3）「『Network DDE Agent 要求』のぜい弱性に対する対策」に関するWindows 2000用の日本語版パッチである。繰り返しになるが，ぜひ適用しておこう。
TechNet Online - Securityでは，公開ドキュメントが2件
「TechNet Online - Security」では，注目しておきたいドキュメントが2件公開された。Windowsシステムを保護するための一般的な手順を解説した（1）「エンド システムのセキュリティに関する考慮事項」と，Windows 2000 Active Directory サービスとの統合や，Kerberos Version 5 認証プロトコルの実装など，Windows 2000の分散セキュリティの新機能を紹介する（2）「Windows 2000 の分散セキュリティ機能」である。
特に，（1）では，ある銀行がセキュリティ計画に取り組んだ具体例を通じて，セキュリティ計画の作成方法が分かりやすく解説されている。日本ではなじみの薄い「セキュリティ担当重役 (CSO) 」という，新しい観点からの説明もあり，内容が有益である。ぜひ，チェックしておこう。
情報処理振興事業協会 セキュリティセンター
■緊急警告 Web 改ざん多発，Webサーバソフトウェアにセキュリティパッチを
■(MS00-086)「Web サーバーによるファイル要求の解析」のぜい弱性に対する対策
■ [IIS] Microsoft Security Bulletin MS99-025 の日本語FAQ
■NIPC ADVISORY 00-060 "E-Commerce Vulnerabilities"
■Privacy Foundation "Email Wiretap Privacy Advisory"
■Netscape ニュース 電子メール盗聴のセキュリティホールに関して
■Outlook 2000 SR-1 アップデート: 電子メール セキュリティ
■Outlook 98 アップデート: 電子メール セキュリティ
マイクロソフト セキュリティ情報
■(MS01-008) 「NTLMSSP のアクセス権の昇格」のぜい弱性に対する対策（2001年2月8日：日本語解説公開）
■(MS01-007) 「Network DDE Agent 要求」のぜい弱性に対する対策（2001年2月6日：日本語解説公開）
■(MS01-007) よく寄せられる質問（FAQ）
■(MS00-099) ｢ディレクトリ サービス復元モードのパスワード｣ のぜい弱性に対する対策（2001年2月8日：Windows 2000用日本語パッチ公開）
■(MS00-052) 「Shell の相対パス」のぜい弱性に対する対策（2001年2月8日：Windows NT 4.0用日本語パッチ公開）
Microsoft ダウンロード センター
■(MS01-007) 「Network DDE Agent 要求」のぜい弱性に対する対策
□Windows 2000用の日本語版パッチ（2001年1月30日）
TechNet Online 目的別インデックス（セキュリティ情報）
山下 眞一郎（Shinichiro Yamashita）
株式会社 富士通南九州システムエンジニアリング
第二ソリューション事業部システムサービス部 プロジェクト課長
yama@bears.ad.jp
「今週のSecurity Check [Windows編]」は，IT Proセキュリティ・サイトが提供する週刊コラムです。Windows関連のセキュリティに精通し，「Winセキュリティ虎の穴」を運営する山下眞一郎氏に，Windowsセキュリティのニュースや動向を分かりやすく解説していただきます。（IT Pro編集部）
