米Microsoftは11月12日，Internet Explorer（IE）の「Cookie データの漏えい」や「ドットなしIPアドレス問題」を解消する累積的な修正パッチを公開した。パッチの公開は歓迎すべきことだが，今回のパッチにより修正されるセキュリティ・ホールの一つは，今までまったくアナウンスされていない新しいものだ。セキュリティ・ホールの内容についてはほとんど解説されていないので，うがった見方をすれば，累積的パッチの“どさくさ”に紛れて公開したとさえ思えてしまう。
パッチを適用すれば確かに解消はされるものの，こういった形でのアナウンスでは，何が問題なのか，パッチ以外の回避方法は存在するのか，といった情報がユーザーにはまったく分からない。パッチだけではなく，セキュリティ・ホールの情報についてもきちんと公開してもらいたい。
IE に新規のパッチ，Cookie データの漏えいやドットなしIPアドレス問題を解消
Windows関連のセキュリティ・トピックス（2001年11月16日時点分）を，各プロダクトごとに整理して解説する。
『Internet Explorer』関連では，「マイクロソフト セキュリティ情報一覧」にて，新規のパッチが1件公開された。
（1）2001 年 11 月 13 日 Internet Explorer 用の累積的な修正プログラム
セキュリティ・ホールについては，先週紹介済みである。IE 5.5 および 6 には，Cookie の取り扱い方法にセキュリティ・ホールがあるため，これを突くようなURLを記述したWebページあるいはHTMLメールによって，ユーザーのCookie データを不正に取得されたり，変更されたりする恐れがある。
深刻なセキュリティ・ホールであるにもかかわらず，セキュリティ・ホールが公開された時点でパッチは公開されていなかった。それが今回，やっと公開された。「Internet Explorer Downloads」のWebページに，米国時間11月12日からパッチが公開されている。日本語版がいつ公開されたのかは不明だが，11月15日にはダウンロード可能となっていた。「DOWNLOAD Select Language:」で「Japanese」を選択すればダウンロードできる。また，「マイクロソフト セキュリティ情報一覧」でも16日から公開された。非常に重要なパッチであるため，対象製品のユーザーはすぐに適用しよう。
今回のパッチが修正するのは，「(MS01-055)Internet Explorer の Cookie データが，スクリプトを介し漏えいまたは変更される」だけではない。このパッチでは，「MS01-055」とはまったく関連がない，Cookie データの漏えい問題に関する新たなセキュリティ・ホールも修正する。加えて，「MS01-051」のパッチを適用しても解決しなかった，IE の「ドットなしIPアドレス」問題についても修正する。つまり，合計3種類のセキュリティ・ホールを解消できるのである。
そのため，URL は「MS01-055」に対応したものではあるが，レポートの表題は当初の「Internet Explorer の Cookie データが，スクリプトを介し漏えいまたは変更される」から，「2001 年 11 月 13 日 Internet Explorer 用の累積的な修正プログラム」に変更されている。
表題だけではなく，“危険度”も変更されている。「MS01-052」の情報から明記されるようになった“危険度”が，「インターネット サーバー」「イントラネット サーバー」「クライアント システム」のすべてにおいて，「高」から「中」に変更されている。深刻なセキュリティ・ホールであるにもかかわらず，なぜ危険度が下げられたのか，筆者自身には納得がいかない。しかし，もっと納得がいかないのは，今回のパッチでふさげるとしている，新しいセキュリティ・ホールについての詳しい説明がないことだ。
意図的に隠された？新しいセキュリティ・ホール
新しいセキュリティ・ホールは「MS01-055」とはまったく関連がないものの，同じく Cookie データの漏えいに関するものである。その内容についてはレポートに明記されていないものの，英語のWebページ「13 November 2001 Cumulative Patch for IE」の「Acknowledgments」の欄に，The Apache Software FoundationのMarc Slemko氏に対する謝辞があることから，11月初旬に公開された同氏のレポート「Microsoft Passport to Trouble」に記載されている，米Microsoftの認証システム「Passport」のセキュリティ・ホールに対応するパッチであると推察される（[参考記事]）。
具体的には，Hotmailにアカウントを持つユーザーが，Hotmailにログインしてから15分以内に特殊なスクリプト付きのメールを読んだ場合，Cookie データを盗まれる恐れがあるというものだ。これにより，クレジット・カード番号などの個人情報が含まれる可能性がある，「Passport」の「eWallet」の情報を奪われてしまうというシナリオが想定されると，同レポートで述べられている。
言うまでもなく，深刻なセキュリティ・ホールである。早急に対策を施す必要がある。今回のパッチを適用すれば当然解消できるが，他のスクリプトを悪用した攻撃同様，この攻撃も設定変更で回避できる。Outlook Express を使用している場合は，「アクティブ スクリプト」を無効にする「制限付きサイト」 ゾーンを使用するように設定し（Outlook Express 6 ではデフォルト設定），Outlookを使用している場合は，「Outlook 電子メール セキュリティ アップデート」を適用（このセキュリティアップデートは，Outlook 2002，もしくは「Office 2000 Service Pack 2」を適用済みの場合は不要）することで，回避可能である。
上記のような“セキュリティ・ホールの深刻さ”や“パッチの以外の回避方法”は，セキュリティ・ホール情報が公開されないと通常のユーザーは分からない。今回公開された情報では，当然不足している。“意図的に”隠したということはないだろうが，新たなセキュリティ・ホールの情報はぜひ積極的に公開してほしい。「パッチ作成を第一に考え，情報をまとめるのが後回しになった」というのであれば，今からでもよいから公開してもらいたい。パッチ同様，情報についてもユーザーは求めているのである。
『Windows ME』ではパッチのアップデート版が1件
『Windows ME』関連は，「マイクロソフト セキュリティ情報一覧」にて，パッチのアップデート版が1件公開された。
（1）無効なユニバーサル プラグ アンド プレイのリクエストがシステムのオペレーションを妨害する
内容については先週紹介済みである。Windows ME および XP，あるいは インターネット接続共有 (ICS) クライアントをインストールした Windows 98/98SE で使用できる「ユニバーサル プラグ アンド プレイ（UPnP）」サービスは，ある種類の無効な UPnP リクエストを適切に処理できないという問題がある。そのため，そのようなリクエストを受け取ると，システムのパフォーマンス低下やシステムの異常終了が発生する恐れがある。日本語情報と同時に，対象となるOSすべての日本語版パッチも11月2日に公開された。
しかしながら，Windows ME用のパッチには不具合が発見された。そのため，英語のWebサイトからは8日に削除されていた。ただし，日本語のWebサイトでは11月12日まで掲載されていた。削除前のパッチを適用すると，Explorerがハングアップしたり，マシンのパフォーマンスが不安定になる恐れがある（この情報については，Webページには記載されていない）。
そしてようやく11月16日に，不具合が解消されたWindows ME用の日本語版パッチが再登場した。不具合がある最初のパッチを適用したユーザーは，今回公開された新しいバージョンをダウンロードし，再適用する必要がある。
マイクロソフト セキュリティ情報一覧
『Internet Explorer』
◆(MS01-055)2001 年 11 月 13 日 Internet Explorer 用の累積的な修正プログラム
（2001年11月16日：日本語版修正パッチを公開し，Cookie 処理に関連する脆弱性とゾーン偽装問題の変種の修正も包含されるとの情報を公開，最大危険度 : 中）
『Windows ME』
◆(MS01-054)無効なユニバーサル プラグ アンド プレイのリクエストがシステムのオペレーションを妨害する
（2001年11月16日：Windows ME 用の不具合を解消した新しいバージョンの日本語版パッチ公開，最大危険度 : 低）
山下 眞一郎（Shinichiro Yamashita）
株式会社 富士通南九州システムエンジニアリング
第二ソリューション事業部システムサービス部 プロジェクト課長
yama@bears.ad.jp
「今週のSecurity Check [Windows編]」は，IT Proセキュリティ・サイトが提供する週刊コラムです。Windows関連のセキュリティに精通し，「Winセキュリティ虎の穴」を運営する山下眞一郎氏に，Windowsセキュリティのニュースや動向を分かりやすく解説していただきます。（IT Pro編集部）
