前回のコラムで指摘した，「Gopher問題」に関する誤った情報が，マイクロソフトのWebページから削除された。米Microsoftのページでは既に削除されている情報なので，喜ばしいことではあるが，予想していたことでもある。ところが，削除に併せて，米Microsoftのページにはない，マイクロソフト独自の情報が補足されていた。これは，非常に画期的なことで，過去には「CONCON問題」以外にほとんど思い当たらない。
「Gopher問題」の誤った回避法が削除
マイクロソフトは6月19日，Internet Explorer（IE）などが影響を受ける，Gopherプロトコルに関するセキュリティ・ホール情報を更新した。
Gopher プロトコル ハンドラの未チェックのバッファにより，攻撃者の任意のコードが実行される (Q323889) (MS02-027)
前回のコラム「マイクロソフトが公開した『Gopher問題』の回避方法に誤り」で指摘したように，当初は誤った回避方法が記載されていた。それが今回の更新により削除されたのだ。まずは，ここまでの動きを振り返ろう。
「Gopher問題」（上記MS02-027で報告されたセキュリティ・ホール）を悪用するには，文字通りGopherプロトコルを使用する必要がある。しかし攻撃者は，Gopherが本来使用するポート（TCP 70番）以外のポートを利用できる。HTTPが本来使用するTCP 80番などを利用することも可能なのだ。そのため，ルーターやファイアウオールでTCP 70番をふさいでも，攻撃を防ぐことはできない。
にもかかわらず，米Microsoftの英語情報（オリジナル情報）およびマイクロソフトの日本語情報（翻訳情報）では，TCP 70番をふさぐことが，回避方法として記載されていた。その後，米Microsoftの情報では6月14日に削除されたものの，日本語情報では残ったままだった――。ここまでは，前回のコラムでお伝えした通りである。
しかし，前回のコラムを公開した6月19日に，日本語情報から上記の内容が削除された。素早い対応であり，同社製品のユーザーのひとりとして素直に評価したい。とはいえ，オリジナルの英語情報では既に削除されているので，翻訳である日本語情報にも，いずれは反映するものと予想していた。
ところが今回の更新では，筆者の予想を超える対応がなされた。上記の削除に併せて，オリジナルの情報にはない，日本独自の情報が追加されていたのだ。
予想外の独自情報の追加
前回のコラムでは，マイクロソフトから公開された情報に対して，上記の誤りを指摘するとともに，情報の不備についても指摘した。公開された情報には，IEでの回避方法として，「LANの設定」に関する設定変更のみが記述されており，「ダイヤルアップ接続」については言及されていなかった。そこでコラムでは，この点についても指摘するとともに，ダイヤルアップ接続での設定変更を紹介した。
この点についても，情報が修正されるべきだと考えていたが，期待はしていなかった。というのも，オリジナルの英語情報にも同様の不備があり，修正されていなかったからだ。このコラムでいくら修正を要望したところで，オリジナルの英語情報に準じている日本語情報では，決して修正されることはないだろうと考えていた。
ところが，英語情報が修正されていないにもかかわらず（原稿執筆時点の6月30日現在），「マイクロソフト セキュリティ情報 (MS02-027) ： よく寄せられる質問」では，「この回避策を手動で実装するためにはどのようにしたらよいですか?」の項を独自に修正して，ダイヤルアップ接続に関する情報を追加していたのだ。
具体的には，従来の情報を「ADSL，FTTH，CATV，有線などの LAN を利用した接続」という表題に変更した上で，新規に「モデムや PHS などによるダイヤルアップ接続または，仮想プライベートネットワークを利用した接続」という表題を追加して，不足していた「ダイヤルアップ接続」に関する情報を追加した。
日本語情報において独自の内容が記載されることは，筆者が知る限りでは過去にほとんど例がない。今回の修正は非常に画期的なことなのだ。マイクロソフトが展開中の「STPP（ストラテジック・テクノロジー・プロテクション・プログラム）」の表れかもしれない。今回のように，「たとえオリジナル情報になくても，ユーザーに必要な情報は独自に追加する」という姿勢は大いに歓迎したい。そして，今後にも期待したい。
なお余談にはなるが，独自に公開したことが全くなかったわけではない。例えば，「CONCON問題」が思いつく。CONCON問題では，米Microsoftの情報に先駆けて，まず日本語情報が公開された。CONCON問題について簡単に紹介して，今回のコラムの“前半”を締めくくろう。
日本語情報から公開された「CONCON問題」
CONCON問題とは，「JP256015 - パスに複数の MS-DOS デバイス名が含まれると致命的エラーが発生する」に解説されている通り，パスに「DOS予約デバイス名」を含んだフォルダやファイルへアクセスしようとするとシステムがクラッシュしてしまう，Windows 95/98の致命的な問題であった。悪用すれば，非常に深刻なDoS（Denial of Service）攻撃となりうる。
例えば，Windows 95/98 において「con」というユーザー名で新規にログオンしたとする。その時点では問題は発生せず，マシンは正常に動作するが，ログオフしようとすると，その処理の途中でマシンがハングアップしてしまう。一度そのようになってしまうと，特別な回避方法を施さない限り，そのマシンはログオン画面が出る前の起動途中でハングアップするようになり，二度と使用できなくなってしまう。
この問題は2000年2月末に発見されたが，当初米Microsoftはセキュリティ問題として正式に認めていなかった。ところが，マイクロソフトは2000年3月15日，「Microsoft Security Advisor」にて，「Windows 98/95 のシステムが，予約デバイス名を使用したリンク先にアクセスした場合に停止する問題」として公開した。
その後，米Microsoftでも「Microsoft Security Bulletin」において「(MS00-017)Patch Available for "DOS Device in Path Name" Vulnerability」が，米国時間3月16日にパッチとともに公開された。つまり，わずかな時間差ではあるが，日本語情報が先に公開されたのである。
ただし，パッチは英語版のほうが早かった。日本語版パッチは「Microsoft Technical Support」にて，「W98:パスに複数回 MS-DOS デバイス名を含むと致命的な例外 OE 発生」というレポートとともに，3月30日に公開されたのだった。
Apacheのセキュリティ・ホールには十分注意
次に，Windows関連のセキュリティ・トピックス（2002年6月30日時点分）を，各プロダクトごとに整理して解説する。
まずは，Apacheに見つかったセキュリティ・ホールを改めて警告したい。マイクロソフト製品ではないが，WindowsプラットフォームでApacheを使用している場合には，影響を受ける恐れがあるからだ。
特に Apache 1.3.x 系に関しては，リモートからバッファ・オーバーフローを引き起こされ，任意のコマンドを実行される恐れがある。対策はアップグレードすること。関連記事などを参考にして，セキュリティ・ホールを修正したバージョンに入れ替える必要がある。
対策は急務である。というのも，Apacheのセキュリティ・ホールを狙う「scalper」と呼ばれるワームが早速登場しているからだ。scalperはFreeBSDプラットフォームだけが対象だが，Windowsプラットフォームも安心してはいられない。米Internet Security Systemsのセキュリティ・チームである「X-Force」は，「Apache for Windows」（Windows 版 Apache）のバージョン 1.3.24 において，任意のコードを実行可能であることを確認しているという。今後，Windows も含めたあらゆるプラットホームを狙うワームが登場する可能性は十分にある。
Apacheは，Web サーバー機能を持つ数多くの商用アプリケーション製品にバンドルされている。そのため，知らずにApacheを使っているケースは多いはずだ。自分でApacheをインストールした記憶がなくても，管理者は必ずチェックしよう。
Media PlayerやExcel，Wordのパッチが公開
次に，マイクロソフトから公開されたセキュリティ情報を解説していく。各種クライアント・アプリケーション関連では，「マイクロソフト セキュリティ情報一覧」にて，新規日本語情報とパッチが2件，修正されたパッチが1件公開された。
（1）2002 年 6 月 26 日 Windows Media Player 用の累積的な修正プログラム (Q320920) (MS02-032)
Windows Media Player 6.4/7.1 および Windows Media Player for Windows XPにおいて，3種類の新しいセキュリティ・ホール情報が公開された。最も深刻なセキュリティ・ホールを悪用されれば，任意のコードが実行される可能性がある（関連記事）。
今回公開されたセキュリティ・ホールは以下の3種類。
- 「Windows Media Player によるキャッシュのパスの公開」
- 「Windows メディア・デバイス・マネージャ・サービスによる権限の昇格」
- 「メディア再生スクリプトの呼び出し」
a のセキュリティ・ホールを悪用するような，ある特殊なメディア・ファイルを再生してしまうと，本来隠しておくべき IE のキャッシュ・フォルダのパス情報を外部へ漏らしてしまう可能性がある。その結果，攻撃者にキャッシュ内のファイル（パス）を直接指定され，外部から実行されてしまう恐れがある。
なお，メディア・ファイルを一度ダウンロードして，ローカルに保存した後に再生する場合には影響を受けない。キャッシュ・フォルダから再生する場合のみ，パス情報を漏らす可能性がある。
対策はパッチを適用すること。深刻なセキュリティ・ホールなので，速やかに適用しよう。すべてのOSに適用可能な Media Player 6.4 および 7.1 用のパッチが公開されている。パッチの適用条件は特にないが，Media Player 7.0 を使用している場合は，まず 7.1 にアップグレードしてからパッチを適用する必要がある。
Media Player for Windows XP 用の修正パッチは，当然 Windows XP にのみ適用可能。なお，いずれのパッチも，過去に公開されたMedia Player用のパッチも含んでいる。
（2）Excel for Windows および Word for Windows 用の累積的な修正プログラム (Q324458) (MS02-031)
Windows版のExcel 2000/2002 および Word 2002において，4種類の新しいセキュリティ・ホール情報が公開された。いずれも，攻撃者が仕込んだマクロ・コードを実行させられる可能性があるというものだ（関連記事）。
今回の「MS02-031」は，以下の4種類のセキュリティ・ホールが対象である。
- 「Excel インライン・マクロのぜい弱性」
- 「ハイパーリンクで開かれた Excel のブックのマクロがセキュリティ・モデルを無視して実行されるぜい弱性」
- 「Excel XSL スタイルシート・スクリプトの実行」
- 「MS00-071『Word の差し込み印刷機能』のぜい弱性の変種」
対策は，既に公開されている日本語版パッチを適用すること。深刻なセキュリティ・ホールなので，速やかに適用したい。なお，一般ユーザーは「クライアント インストール」のリンクから入手できるパッチを適用する。今回のパッチは，累積的な修正パッチであり，過去に公開された ExcelおよびWordに関するパッチを含んでいる。
パッチの適用条件は，Excel 2000 用が Office 2000 Service Pack 2（SP-2）を適用済みであること，Excel 2002 およびWord 2002 用は Office XP Service Pack 1（SP-1）を適用済みであることだ。
なお，Office 2000 SP-2 を適用するには，Office 2000 Service Release 1 (SR-1)が適用されている必要がある。また，Office 2000 SP-2 を適用していても，「ヘルプ」メニューから表示される「バージョン番号」に「SP-2」は表示されないので注意が必要だ。詳細については，「JP278269 [OFF2000] Office 2000 SP-2 の入手とインストール方法」を参照してほしい。
（3）MSN チャット コントロールの未チェックのバッファによりコードが実行される (Q321661) (MS02-022)
セキュリティ・ホールの内容については，過去のコラムで紹介済みなので割愛する。
米国時間2002年6月11日，上記セキュリティ情報が更新され，新たなパッチが公開された。更新された情報によると，当初（5月8日）公開されたパッチを適用していても，セキュリティ・ホールがあるコントロールを改めてインストールしてしまうと，影響を受けるという。
そのため，新たに公開されたパッチあるいは修正バージョン（MSN チャット コントロール，MSN Messenger，Exchange Instant Messenger）を適用する必要がある。それぞれのユーザーは早急に適用しよう。
Commerce Serverに深刻なホール
各種サーバー・アプリケーション関連では，「マイクロソフト セキュリティ情報一覧」にて，新規日本語情報およびパッチが1件，追加情報が1件公開された。
（1）プロファイル サービスの未チェックのバッファにより Commerce Server でコードが実行される (Q322273) (MS02-033)
Commerce Server 2000/2002において，4種類の新しいセキュリティ・ホールの情報が公開された。いずれも，任意のコードを実行される恐れがあるセキュリティ・ホールだ（関連記事）。
対策はパッチを適用すること。深刻なセキュリティ・ホールなので，管理者は早急に対応しよう。なお，パッチの適用条件は，Commerce Server 2000 用が Commerce Server 2000 Service Pack 2 を適用済みであること。Commerce Server 2002 については条件はない。
今回公開されたセキュリティ・ホールは以下の4種類。
- 「プロファイル・サービスのバッファ・オーバーラン」
- 「OWC パッケージのバッファ・オーバーラン」
- 「OWC パッケージ・コマンドの実行」
- 「ISAPI フィルタのバッファ・オーバーランのぜい弱性の変種」
a と d については，マイクロソフトが公開するセキュリティ・ツール「URLScan ツール」が有効だ。とはいえ，万全ではない。任意のコードを実行される脅威を減らすことはできるが，DoS攻撃を受ける可能性は依然残る。URLScanを使っていても，パッチの適用は不可欠である。
（2）リモート アクセス サービスの電話帳の未チェックのバッファによりコードが実行される (Q318138) (MS02-029)
セキュリティ・ホールの内容については，以前のコラムでお知らせしているので割愛する。今回，上記セキュリティ情報に新たな情報が追加された。
具体的には，「警告」の欄が更新され，「修正パッチの適用後，管理者以外のユーザーによる VPN 接続が確立できなくなる場合がある」という情報が追加された。現時点では，この問題の解決策は存在しない。
マイクロソフトは，この問題を解決する新たな修正パッチを作成中である。完成次第アナウンスするとしている。このコラムでもフォローしていくので，上記の問題が発生している場合には，チェックしてほしい。
「Frethem」ワームが出現
「TechNet Online セキュリティ」では，「Frethem」と呼ばれる新種ワームに関するドキュメントが公開された。
レポートに記載されている通り，Frethem ワームは「不適切な MIME ヘッダーが原因で Internet Explorer が電子メールの添付ファイルを実行する (MS01-020) 」のセキュリティ・ホールを悪用する。具体的には，セキュリティ・ホールがあるOutlook や Outlook Express（IE）を使用している場合には，メールをプレビューしただけで，添付されているFrethemが実行されてしまう。
実行されると，アドレス帳や各種ファイルに記録されているメール・アドレスに対して，自分自身のコピーを大量に配信しようと試みる。
ただし，上記のセキュリティ・ホールを悪用するワーム（ウイルス）は今や一般的になっており，Frethemに限ったものではない。IEなどのセキュリティ・ホールをふさいだ上で，最新のパターン・ファイルを使用するなどして，アンチウイルス製品を適切に利用していれば十分防げる。
Software Update Servicesページが公開
Microsoft セキュリティでは，「Microsoft Software Update Services (SUS) 」に関するページが公開された。
SUS とは，最新の重要パッチを社内ユーザーに配付するための「Windows Update サイト」を，システム管理者が独自に構築できるサービスである。対象は，Windows 2000 サーバー および Windows 2000 Professional/XP Professional クライアント。
ただし，現在公開されているのはサーバー・コンポーネントのみ。アップデートを自動化するためのクライアント・コンポーネントは，Windows 2000 SP3 と Windows XP SP1 で提供される予定である。
マイクロソフト セキュリティ情報一覧
『Internet Explorer／Proxy Server 2.0／ISA Server 2000』
◆Gopher プロトコル ハンドラの未チェックのバッファにより，攻撃者の任意のコードが実行される (Q323889) (MS02-027)
（2002年6月19日：事実と異なる，TCP ポート 70 番のブロックの有効性に関する情報を削除，最大深刻度 : 高）
『Media Player 6.4／7.1／Media Player for Windows XP』
◆2002 年 6 月 26 日 Windows Media Player 用の累積的な修正プログラム (Q320920) (MS02-032)
（2002年6月27日：日本語情報および日本語版パッチ公開，最大深刻度 : 高）
『Excel 2000／Office 2000／Excel 2002／Word 2002／Office XP』
◆Excel for Windows および Word for Windows 用の累積的な修正プログラム (Q324458) (MS02-031)
（2002年6月20日：日本語情報およびパッチ公開，最大深刻度 : 中）
『MSN チャット コントロール／Microsoft MSN Messenger 4.5，4.6 ／Microsoft Exchange Instant Messaging サービス 4.5，4.6』
◆MSN チャット コントロールの未チェックのバッファによりコードが実行される (Q321661) (MS02-022)
（2002年6月19日：米国時間5月8日にリリースされた修正パッチがシステムを十分に保護しないことを告知。併せて，更新されたパッチや修正バージョンを公開，最大深刻度 : 高）
『Commerce Server 2000／2002』
◆プロファイル サービスの未チェックのバッファにより Commerce Server でコードが実行される (Q322273) (MS02-033)
（2002年6月27日：日本語情報および日本語版パッチ公開，最大深刻度 : 高）
『Windows NT 4.0／NT 4.0 Terminal Server Edition／2000／XP』
◆リモート アクセス サービスの電話帳の未チェックのバッファによりコードが実行される (Q318138) (MS02-029)
（2002年6月25日：警告の欄が更新され，修正パッチと VPN 接続に関する問題について説明，最大深刻度 : 高）
TechNet Online セキュリティ
◆Frethem に関する情報 （2002年 6月14日）
Microsoft セキュリティ
◆Microsoft Software Update Services 公開 （2002年 6月24日）
山下 眞一郎（Shinichiro Yamashita）
株式会社 富士通南九州システムエンジニアリング
第一ソリューション事業部ネットソリューション部 プロジェクト課長
yama@bears.ad.jp
「今週のSecurity Check [Windows編]」は，IT Proセキュリティ・サイトが提供する週刊コラムです。Windows関連のセキュリティに精通し，「Winセキュリティ虎の穴」を運営する山下眞一郎氏に，Windowsセキュリティのニュースや動向を分かりやすく解説していただきます。（IT Pro編集部）
