マイクロソフトが6月19日に公開した深刻なセキュリティ・ホールの危険性が高まっている。アタックの有効性を検証するコード（いわゆるExploitコード）や悪用される可能性のある情報がインターネットで公開され始めたからだ。パッチの適用を徹底する必要がある。ほかの話題としては，マイクロソフトが「SP2適用後に必要なパッチ一覧」を分かりやすく再編集して公開したことと，セキュアな Web サイトを設定および運用するためのドキュメントを公開したことが挙げられる。ぜひチェックしておこう。
IIS サーバーを完全に乗っ取られるセキュリティ・ホールが発覚
2001年6月22日時点で「マイクロソフト セキュリティ情報一覧」から公開された新規のセキュリティ・ホール情報は次の1件である。
（1）Index Server ISAPI エクステンションの未チェックのバッファにより Web サーバーが攻撃される
1件だけではあるが，非常に深刻なセキュリティ・ホールである。影響を受けるのは，Windows NT 4.0 または Windows 2000，Windows XP ベータ版。Index Server ISAPI エクステンションの1つである「idq.dll」の未チェックのバッファを悪用したバッファ・オーバーラン攻撃により，Internet Information Server 4.0/Services 5.0（IIS）に対して DoS アタックされたり，任意のコードをサーバーで実行されたりする恐れがある。その結果，サーバーを完全に乗っ取られる恐れがある（[関連記事]）。
マイクロソフトのレポートでは，「影響を受けるソフトウエア」として，IIS にデフォルトで組み込まれている「Microsoft Index Server 2.0」と「Windows 2000 の Indexing Service」を挙げている。しかし，実際にはこれらのサービスが稼働していなくても，IISさえ稼働していれば影響を受ける。
また，今回のセキュリティ・ホールは，Web セッションさえ確立できればアタック可能だ。通常のWebアクセス同じプロトコルを利用するため，ファイアウオールなどはまったく役にたたない。
さらに，攻撃者はローカルシステム権限でのコード実行が可能なため，単にWebページを改ざんするだけではなく，サーバーを完全に乗っ取ることもできる。非常に危険なセキュリティ・ホールである。
「マイクロソフト セキュリティ情報」では日本語解説および日本語版パッチが既に公開されているので，管理者は対応が必須である。ただし，日本語解説は6月21日に更新されているので注意してほしい。当初（6月19日），今回公開した日本語版パッチ（MS01-033用パッチ）には，過去のセキュリティ・ホールである「MS00-006」と「MS01-025」の修正パッチも含まれているとしていたが，実際には含まれていないと修正した。
また，マイクロソフトが公開するドキュメントである「重要 Web コンテンツの改ざんに対する防御策についての説明」 は，残念ながら5月23日最終更新のままで，今回の「MS01-033」の情報はまだ反映されていない。これについても注意が必要だ。
「重要 Web コンテンツの改ざんに対する防御策についての説明」は，IIS 4.0および IIS 5.0の「セキュリティ チェックリスト」を「自分にはちょっと難しい」と感じているシステム管理者が，安全なWebサイト運用のための“バイブル”として使用している可能性が高い。絶えず最新の情報を掲載してほしいものだ。
なお，Internet Data Administration (.ida) と Internet Data Query (.idq) ファイルのスクリプト マッピングを事前に削除している場合は，今回のセキュリティ・ホールの影響を受けない。しかし，システム・コンポーネントの追加や削除の操作に伴い，マッピングが再び復活する可能性があるので，パッチを適用したほうが安心であると言える。
Exploitコードも登場し，深刻な事態が発生の恐れ
ここへきて，ただでさえ深刻な上記セキュリティ・ホールの危険性がさらに高まっている。アタックの有効性を実証する「isapi-dos2.c」という Exploit コードが，だれでも閲覧可能なWebサイトで公開され始めたのだ。このコードを使えば，DoSアタックが可能であることを実証できる。
今回のセキュリティ・ホールは，UNICODE化された値を扱う特殊な形態であるため，従来のバッファ・オーバーラン攻撃の手法と比較すると，任意のコードをサーバー上で実行することは困難である。しかし，その“ヒント”も「eEye Digital Security」のWebサイトで公開されている。「eEye Digital Security」は今回のバグの発見者であり，同種のセキュリティ・ホールである「(MS01-023)ISAPI エクステンションの未チェックのバッファにより IIS 5.0 Server のセキュリティが侵害される」 を発見したセキュリティ・ベンダーだ。
加えて，海外のメディアでは，あるクラッキング・グループによってアタック・ツールが既に開発されたとも報道されている。
セキュリティ・ホールが公開された6月19日時点より，危険性はますます高まるばかりである。過去のセキュリティ・ホール同様，時間が経てば経つほど，攻撃を受ける可能性は大きくなる。パッチの適用を徹底しよう。
「SP2適用後に必要なパッチ一覧」，分かりやすくはなったがさらに改善を
先週このコラムで紹介した「Windows 2000 ServicePack 2 をインストール済みのお客様はこちらをご利用ください」が更新された。デザインが変更され，格段に分かりやすくなった。
しかし，まだ十分とはいえない。例えば，PC/AT 互換機用「セキュリティ 対応モジュール」（6月22日の最終更新分）の情報だけでも，「(MS01-022)WebDAV Service Provider によりスクリプトがユーザーとしてリクエストを行う」のパッチに関する記載が漏れているようである。
また，私見ではあるが，「マイクロソフト セキュリティ情報一覧」で紹介していない「JP298009 暗号化ファイルシステム用 Cipher.exe セキュリティツール」は，「セキュリティ 対応モジュール」の欄ではなく，「その他 対応モジュール」の欄に移したほうが分かりやすいように思う。
さらに提案するならば，製品名とサービスパック番号の組合せを入力すれば，必要なパッチを検索できる「Security Bulletin Search」の日本語版を提供してほしい。このサービスを提供すれば，パッチに関するユーザーからの問い合わせがかなり減ると思うので，マイクロソフトと顧客の双方にメリットがあるはずだ。最近のマイクロソフトの素早い対応は十分評価できる。さらによりよくするために，ぜひ検討して頂きたい。
実践的で有益なドキュメントが公開
「TechNet セキュリティ センター」では，ドキュメントが1件公開された。「安全でかつ利便性を保った Web サイトを実現する 保存版 IIS 5.0 セキュリティ対策ハンドブック」 である。「Part 1 - セキュアな Web サイトにするための基本設定ガイド」と「Part 2 セキュアな Web サイトにするための運用ガイド」の2部構成で，筆者は Windows NT/2000 のセキュリティ情報を提供する有名なサイト「Port139」を運営する伊原氏である。
単なる設定ガイドではなく，継続して堅牢なWebサイトにするための，実践的で非常に有益な情報が満載のコンテンツである。ぜひチェックしてほしい。また，伊原氏のWebサイトには，このドキュメントを補完する情報である「hotfix に関する備忘録」が掲載されている。併せてチェックしておこう。
マイクロソフト セキュリティ情報一覧
『Windows 2000』
◆(MS01-033)Index Server ISAPI エクステンションの未チェックのバッファにより Web サーバーが攻撃される
（2001年6月19日：日本語情報及び日本語版パッチ新規公開）
（2001年6月21日：「移行される修正プログラム」 の欄が更新）
『Windows NT 4.0』
◆(MS01-033)Index Server ISAPI エクステンションの未チェックのバッファにより Web サーバーが攻撃される
（2001年6月19日：日本語情報及び日本語版パッチ新規公開）
（2001年6月21日：「移行される修正プログラム」 の欄が更新）
【関連情報】
◆All versions of Microsoft Internet Information Services Remote buffer overflow (SYSTEM Level Access)
（eEye Digital Security：2001/06/18）
◆Index Server ISAPI エクステンションの未チェックのバッファによりWeb サーバーが攻撃される問題について
（IPA：2001年6月20日最終更新）
◆CERT Advisory CA-2001-13 Buffer Overflow In IIS Indexing Service DLL
（CERT/CC：2001年6月19日 LAC の邦訳版）
◆Microsoft Index Server ISAPI Extension Buffer Overflow （JPCERT：2001年6月20日）
TechNet セキュリティ センター
◆安全でかつ利便性を保った Web サイトを実現する 保存版 IIS 5.0 セキュリティ対策ハンドブック
（2001年6月21日公開）
山下 眞一郎（Shinichiro Yamashita）
株式会社 富士通南九州システムエンジニアリング
第二ソリューション事業部システムサービス部 プロジェクト課長
yama@bears.ad.jp
「今週のSecurity Check [Windows編]」は，IT Proセキュリティ・サイトが提供する週刊コラムです。Windows関連のセキュリティに精通し，「Winセキュリティ虎の穴」を運営する山下眞一郎氏に，Windowsセキュリティのニュースや動向を分かりやすく解説していただきます。（IT Pro編集部）
