ゴールデン・ウィークがあったために,前回の記事から3週間が経過している。そのため,このコラムで未報告のトピックスが複数存在している。そこで今回の記事では,それらについて解説する。Windows Media PlayerやInternet Explorer(IE),Outlook Expressには深刻なセキュリティ・ホールが見つかっている。既に対応済みの読者は少なくないだろうが,改めて確認してほしい。また,Windowsカーネルに見つかったセキュリティ・ホール用のパッチを適用すると,パフォーマンスが低下する恐れがあることが確認されている。問題を修正したパッチが未公開の現状では,パッチをアンインストールすることなどが回避策である。

.NET Passportにセキュリティ・ホール

 マイクロソフト製品のセキュリティ・ホールを解説する前に,同社が提供する「Microsoft .NET Passport」に見つかったセキュリティ・ホールを紹介しておこう。セキュリティ・ホールの内容は,.NET Passport ユーザーのパスワードを第三者が変更したり,そのユーザーのアクセス権を奪うことができるというものだ。しかも,セキュリティ・ホールの悪用はとても容易である。

 セキュリティ・ホールは5月7日にセキュリティ関連のメーリング・リストなどで公表された。それを受けて,米Microsoftはセキュリティ・ホールを修正するとともに,5月9日にレポートを公開した。マイクロソフトは日本語のレポート「Microsoft .NET Passport のセキュリティ上の問題は解決」を公開している。

 レポートによれば,公表されたセキュリティ・ホールは既に修正されたとしているが,.NET Passportに登録しているユーザーは,至急レポートを確認しておこう。

Windowsカーネル用パッチにパフォーマンス低下の問題

 それでは,Windows関連のセキュリティ・トピックス(2003年5月10日時点分)を,各プロダクトごとに整理して解説していこう。まずWindows OS関連では,「マイクロソフト セキュリティ情報一覧」にて,追加情報が3件(うち2件ではパッチも)公開された。

 まず,前回の記事で紹介した,

Windows カーネル メッセージ処理のバッファ オーバーランにより,権限が昇格する (811493) (MS03-013)

では,パッチを適用すると,マシンのパフォーマンスが低下する恐れがあることが,セキュリティ情報に追加された。セキュリティ・ホールの詳細については割愛するので,前回の記事やマイクロソフトの公開情報を参照してほしい。

 「パッチを適用するとパフォーマンスが低下する恐れがあること」「(このパッチに限らず)検証が必要であること」は,前回の記事で筆者は指摘している。今回マイクロソフトから,このことが正式にアナウンスされたのである。詳細については,「マイクロソフト サポート技術情報 819634 - Windows XP SP1 ベースのコンピュータに 811493 (MS03-013) をインストールした後,パフォーマンス上の問題が発生することがある」を確認してほしい。

 マイクロソフトの情報によると,ウイルス対策ソフトを常駐させて,いわゆる「リアルタイム・スキャン機能」を使用している場合に問題が発生することが多いようだ。また,Service Pack を適用していないWindows XPは影響を受けないとしている。

 マイクロソフトは,「方法 1 : 811493 修正プログラムを一時的に削除する」と,「方法 2 : ウイルス対策プログラムのリアルタイム スキャンを一時的に無効にする」の2つを回避策として紹介している。ただしこれらは,Windows XP SP1の環境下において,問題が発生している場合に限った回避策なので注意してほしい。

 そもそもこのセキュリティ・ホール「MS03-013」は,前回の記事でも書いたように「対話的ログインを許可するユーザーを必要最小限にする」「ユーザーのパスワード管理を徹底する」 といった,セオリー通りのセキュリティ対策を施している場合には,影響を受けることは比較的少ない。パフォーマンスの問題が発生している場合には,これらがきちんと実施されていることを確認した上で,「方法1」を実施して影響を回避しよう。

 マイクロソフトの情報では,パフォーマンスの問題を解消したWindows XP SP1用のパッチを公開する予定であるとしている。しかしながら,原稿を執筆している5月10日時点では公開されていない。

【5月29日IT Pro追記】マイクロソフトは5月29日,パフォーマンスの問題を解消した,Windows XP SP1用の新しいパッチを公開した。新しいパッチは,同社のセキュリティ情報ページおよび「Windows Update」から入手できる。

きちんとアナウンスされたのか?

 ところで,「MS03-013」のパッチに関するこの問題は,きちんとアナウンスされていたのだろうか。

 「MS03-013」のセキュリティ情報が公開されたのは4月17日のことだった。その1週間後の4月24日に,セキュリティ情報および 「よく寄せられる質問」が更新され,Windows XP SP1 に「MS03-013」のパッチを適用すると,パフォーマンス上の問題が発生することがあるという情報が追加された。つまり,この時点でマイクロソフトは問題が発生することを認めたのである。併せて,問題を解消したWindows XP SP1 用パッチを作成中であるとアナウンスした。

 そして,その4日後の4月28日には,この問題に関する「サポート技術情報 (英語情報)」へのリンクが追加され,5月1日にはそれを日本語化した「マイクロソフト サポート技術情報 819634」が公開された。

 併せて,4月28日には「マイクロソフト トラブル速報」でも,問題が発生すること,問題を解消したパッチを作成中であることがアナウンスされた。

 こうしてみると,この問題はきちんとアナウンスされたようだ。しかし,不十分と言わざるをえない。というのも,セキュリティ情報をメールで配信する「マイクロソフト プロダクト セキュリティ 警告サービス」では,最初に「MS03-013」が公開されたときにはアナウンスされたが,パフォーマンスの問題についてはアナウンスされていない。

 また,「TechNet セキュリティ センター」のトップページにもアナウンスされることはなかった。これでは,「マイクロソフト トラブル速報」と「マイクロソフト セキュリティ情報一覧」で表示される「更新日」に注意を払っているユーザーしか気づかないのではないだろうか。

 ユーザーは一度対応したセキュリティ・ホールに改めて注意を払うことは少ない。もちろん,「『マイクロソフト トラブル速報』を毎日見ていれば気づいたはずだ」との声もあるだろうが,それ以外にも,「更新情報もきちんとメールでアナウンスする」,「更新情報がすぐに分かる専用ページを用意する」などで,対応していただきたい。重要な更新情報は,新規のセキュリティ・ホールと同様にユーザーに知らせる必要があるのだ。

Windows 2000と同じセキュリティ・ホール がNTにも

 次に,Windows 2000に見つかった深刻なセキュリティ・ホールである,

Windows コンポーネントの未チェックのバッファにより Web サーバーが侵害される (MS03-007)

が,Windows NT 4.0にも存在することが明らかとなった(関連記事)。そこで,セキュリティ情報にこのことが追記されるとともに,Windows NT 4.0 および Windows NT4.0 Terminal Server Edition 用のパッチが公開された。

 「MS03-007」の詳細については,過去の記事で解説しているので,そちらを参照してほしい。

 Windows 2000については「緊急」のセキュリティ・ホールであった。しかし,Windows NT 4.0では,深刻度は「重要」とされている。Windows NT 4.0は WebDAV をサポートしないため,既知の攻撃方法は通用しないためだ。しかし,あくまでセキュリティ・ホールが存在するのは,オペレーティング・システム・コンポーネントである ntdll.dllであり,攻撃方法はWebDAV機能経由のものだけではない(関連記事)。速やかに修正パッチを適用しよう。

 Windows NT 4.0/NT 4.0, Terminal Server Edition/2000/XPのWM_TIMER メッセージ処理に見つかったセキュリティ・ホールである

Windows WM_TIMER メッセージ処理の問題により,権限が昇格する (328310) (MS02-071)

についても,情報の追記と新たなパッチが公開されている(「MS02-071」の詳細については,過去の記事 を参照のこと)。具体的には,Windows NT 4.0 Terminal Server Edition を実行しているマルチ・プロセッサ・システムで発生したインストーラの問題を修正するため,Windows NT 4.0 Terminal Server Edition 用の修正パッチが更新された。

Media Playerにセキュリティ・ホール

 各種クライアント関連では,「マイクロソフト セキュリティ情報一覧」にて,新規日本語情報およびパッチが3件公開された。Windows Media Player,IE,Outlook Expressに関するものである。

 Media Playerには5月8日,深刻なセキュリティ・ホールが見つかった(関連記事)。

Windows Media Player スキン ダウンロードの問題により,コードが実行される (817787) (MS03-017)

 Windows Media Player 7.1およびWindows Media Player for Windows XP(Version 8.0)において,プレーヤーの外観などを変更する機能「スキン」に使用するスキン・ファイルのダウンロードを処理する方法にセキュリティ・ホールが見つかった。悪意があるファイルをスキン・ファイルに見せかけられて,攻撃者が指定した場所にダウンロードさせられるとともに,実行させられる恐れがある。

 このセキュリティ・ホールは,スキン・ファイルに存在するのではなく,Media Playerがスキン・ファイルをダウンロードする方法に存在する。スキン・ファイルのダウンロードを開始するために渡される URL が適切にチェックされないために,スキン・ファイルに見せかけたファイルが,Temporary Internet Files フォルダではなく,攻撃者が指定する既存の場所にコピーされる可能性がある。例えば,パソコンの 「スタートアップ」フォルダに悪意のある実行ファイルをコピーされた場合,パソコンの起動時に自動的に実行されてしまう。

 ユーザーが悪意のあるWebページを閲覧したり,HTML メールを受信すると攻撃を受けることになる。ただし,デフォルト状態のOutlook Express 6 あるいは Outlook 2002 ,Outlook 電子メール セキュリティ アップデートを適用した Outlook 98 あるいは 2000 を使用している場合には,HTMLメールを受信するだけで攻撃を受けることはない。とはいえ,メール中のリンクをクリックしてしまうと攻撃を受けることになるので,安心はできない。

 対策はパッチを適用すること。2003年1月から提供されているMedia Player 9 シリーズは影響を受けないので,9シリーズにバージョン・アップすることも有効な対策である。深刻度は最悪の「緊急」なので,速やかに対応しよう。

 このセキュリティ情報に記された「謝辞」によれば,フィンランド「Oy Online Solutions」の Jouko Pynnonen 氏およびJelmer氏から,マイクロソフトへ事前の報告および協力があったことが分かる。このため,アンダーグランドでこのセキュリティ・ホールが周知されていたり,悪用されていたりする可能性は小さいと考えられる。

 なお筆者としては,Media Player 9 シリーズにバージョン・アップすることで対応することをお勧めしたい。Media Player 9 シリーズはWindows XP 用だけではなくWindows 98 SE/ME/2000 用も用意されている(ただし,XP用に比べると機能が少ない)。

 Media Player 9シリーズでは,120 以上の新機能を用意している。その中でも特に,バッファリングの時間を大幅に減少できる「ファスト ストリーミング(即時/常時配信)テクノロジー」は有用であり,このテクノロジを利用するストリーミング・サイトは今後増えると思われる。

 ただし,Media Player 9 シリーズにバージョン・アップする際には,注意すべき点がいくつかある。詳細は「Windows Media Player 9 シリーズ リリース ノート」「確認されている問題」に記載されているので,ぜひ目を通していただきたい。

 特に,Windows Me を使用している場合は,「Windows Me システムの復元の修正プログラム」を適用後,Media Player 9 をインストールする必要があることに注意してほしい。

Media Player 6.4は影響を受けるのか

 なお,今回のセキュリティ・ホールについてマイクロソフトでは「Media Player 7.1,Media Player for Windows XP および Media Player 9 シリーズのみテストし,それ以前のバージョンに関してはサポート対象ではないのでテストしていない。そのため,今回のセキュリティ・ホールによる影響は不明」としている。しかし,スキン機能は,Media Player 7から採用された機能なので,Media Player 6.4は,影響を受けないと思われる。

 また,マイクロソフトの「Windows デスクトップ製品のライフサイクル」のWindows Mediaの項によると,例えば,Windows 2000 Professional の Windows Media Player 6.4は,セキュリティ・ホット・フィックス(パッチ)のみの提供としながらも,2007年3月31日まではサポートされることになっている。セキュリティ情報では「Media Player 7.1より古いバージョンはサポート対象外」としているが,Windows 2000 ProfessionalおよびXPではサポート対象なのである。

 Windows 98SE/NT/MEはともかく,2000やXPのMedia Player 6.4用パッチが公開されていないところをみると,6.4は影響を受けないと考えるのが自然だろう。

【5月13日追記】
 マイクロソフトは5月12日,セキュリティ情報を更新し,「Media Player 6.4についてもテストしたこと」と「Media Player 6.4は影響を受けないこと」を追記した。
【以上,5月13日追記】

IEにセキュリティ・ホール

 IE 5.01/5.5/6.0において4月24日,4種類の新しいセキュリティ・ホールが見つかった(関連記事)。マイクロソフトでは,これらを含めて,過去に見つかったIEのセキュリティ・ホールをすべて解消する累積パッチを公開した。

Internet Explorer 用の累積的な修正プログラム (813489) (MS03-015)

 4種類のうち,最も深刻なセキュリティ・ホールを悪用されると,細工が施されたWebページやHTMLメールを閲覧するだけで,悪意があるコードをユーザーのパソコン上で実行させられる可能性がある。最大深刻度が「緊急」である,非常に深刻なセキュリティ・ホールなので,早急にパッチを適用する必要がある。なお,「HTML ヘルプ機能」などに関する,パッチ適用上の注意点が存在するので注意が必要である。詳細についてはセキュリティ情報を参照してほしい。

 HTMLメールを使った攻撃に対しては,

 「デフォルト状態のOutlook Express 6 あるいは Outlook 2002 ,Outlook 電子メール セキュリティ アップデートを適用した Outlook 98 あるいは 2000 を使用している場合には,HTMLメールを受信する(メール本文を開いたりプレビューしたりする)だけで攻撃を受けることはない」

という,“お決まり”の「問題を緩和する要素」がある。しかし,今回のセキュリティ・ホールについては通用しない。当初は上記が「問題を緩和する要素」の一つとして記載されていたが,5月2日に「問題を緩和する要素」 および 「よく寄せられる質問」 が更新され,4種類見つかった新しいセキュリティ・ホールのうち,「URLMON.DLL のバッファ オーバーラン」では通用しないことが追記された。つまり,HTMLメールの本文を開くあるいはプレビューするだけで任意のコードを実行させられる恐れがあるのだ。非常に危険なセキュリティ・ホールである。パッチの適用を徹底しよう。

 なお,今回公開された累積的な修正パッチ「MS03-015」は,2003年2月6日に公開された累積パッチ「MS03-004」を含んでいる。さらに,「MS03-015」を適用することで,「MS03-004」の適用で発生する(少なくとも)4種類の不具合を解消できる。詳細については,「サポート技術情報 (KB) 文書番号 : 814895 - MS03-004 の修正モジュールの適用後に発生する現象について」を参照してほしい。

Outlook Expressにもセキュリティ・ホール

 Outlook Express 5.5/6にも4月24日,深刻なセキュリティ・ホールが見つかった。

Outlook Express 用の累積的な修正プログラム (330994) (MS03-014)

 「MHTML URL ハンドラ」にセキュリティ・ホールが存在するため,細工が施されたWebページやHTMLメールを閲覧すると,ユーザーのパソコン上で任意のコードを実行させられる恐れがある。MHTMLとは,電子メールでHTML コンテンツを送るために使用される MIME(Multipurpose Internet Mail Extensions)構造を定義するものである。

 対策はパッチを適用すること。最大深刻度が最悪の「緊急」なので,早急にパッチを適用しよう。

 なお,HTMLメールを使った攻撃に対しては,デフォルト状態のOutlook Express 6 あるいは Outlook 2002 ,Outlook 電子メール セキュリティ アップデートを適用した Outlook 98 あるいは 2000 を使用している場合には,HTMLメールを受信するだけで攻撃を受けることはない。

BizTalk Serverにセキュリティ・ホール

 各種サーバー・アプリケーション関連では,「マイクロソフト セキュリティ情報一覧」にて,新規日本語情報およびパッチが1件公開された。

BizTalk Server 用の累積的な修正プログラム (815206) (MS03-016)

 BizTalk Server 2000/2002において,「HTTP 受信機能のバッファ オーバーラン」(BizTalk Server 2002 のみ)と「DTA の SQL インジェクション」という,2種類のセキュリティ・ホール情報が公開された。最も深刻なセキュリティ・ホールについては,攻撃者が選択したコードが実行される可能性がある(関連記事)。

 対策はパッチを適用すること。システムを乗っ取られる可能性がある,最大深刻度「重要」の深刻なセキュリティ・ホールである。できるだけ速やかにパッチを適用する必要がある。

 なお,BizTalk Server 2002 だけが影響を受ける「HTTP 受信機能のバッファ オーバーラン」に関して,問題となるHTTP 受信機能はデフォルトで有効ではない。

 セキュリティ情報の「謝辞」の項によれば,Cesar Cerrudo 氏から,マイクロソフトへ事前の報告および協力があったことが分かる。このため,アンダーグランドでこのセキュリティ・ホールが周知されていたり,悪用されていたりする可能性は小さいと考えられる。

“月例”ドキュメントが公開

 「TechNet Online セキュリティ」では,4月のセキュリティ情報をまとめた「2003 年 4 月 セキュリティ 警告サービス 月刊サマリー」が公開されている。特に目新しい情報はないので,時間がある時に確認の意味でチェックしておけばよいだろう。



マイクロソフト セキュリティ情報一覧

『Windows Media Player 7.1/Media Player for Windows XP (Version 8.0) 』
Windows Media Player スキン ダウンロードの問題により,コードが実行される (817787) (MS03-017)
 (2003年 5月 8日:日本語情報および日本語版パッチ公開,最大深刻度 : 緊急)

『Internet Explorer 5.01/5.5/ 6』
Internet Explorer 用の累積的な修正プログラム (813489) (MS03-015)
 (2003年 5月 2日:「問題を緩和する要素」 および 「よく寄せられる質問」 が更新)
 (2003年 4月24日:日本語情報および日本語版パッチ公開,最大深刻度 : 緊急)

『Outlook Express 5.5/6』
Outlook Express 用の累積的な修正プログラム (330994) (MS03-014)
 (2003年 4月24日:日本語情報および日本語版パッチ公開,最大深刻度 : 緊急)

『BizTalk Server 2000/2002』
BizTalk Server 用の累積的な修正プログラム (815206) (MS03-016)
 (2003年 5月 1日:日本語情報および日本語版パッチ公開,最大深刻度 : 重要)

『Windows NT 4.0/2000/XP』
Windows カーネル メッセージ処理のバッファ オーバーランにより,権限が昇格する (811493) (MS03-013)
 (2003年 5月 1日:マイクロソフト サポート技術情報 819634 日本語版が公開)
 (2003年 4月28日:サポート技術情報 (英語情報) へのリンクを追加公開)
 (2003年 4月24日:セキュリティ情報ページおよび 「よく寄せられる質問」 が更新)
 (2003年 4月17日:日本語情報および日本語版パッチ公開,最大深刻度 : 重要)

『Windows 2000 /4.0』
Windows コンポーネントの未チェックのバッファにより Web サーバーが侵害される (MS03-007)
 (2003年 4月24日:Windows NT 4.0用パッチが公開)
 (2003年 3月18日:日本語情報および日本語版パッチ公開,最大深刻度 : 緊急)

『Windows NT 4.0/NT 4.0, Terminal Server Edition/2000/XP』
Windows WM_TIMER メッセージ処理の問題により,権限が昇格する (328310) (MS02-071)
 (2003年 5月 1日:Windows NT 4.0, Terminal Server Edition 用パッチが更新)
 (2003年 3月12日:パッチ適用後発生する問題について注意書きが追記)
 (2003年 2月 8日:特定環境で発生する問題を修正したパッチが公開)
 (2003年 2月 4日:特定環境で発生する問題が判明,パッチ公開が一時停止)
 (2002年12月12日:日本語情報および日本語版修正パッチ公開,最大深刻度 : 重要)

TechNet Online セキュリティ

マイクロソフト プロダクト セキュリティ警告サービス 2003 年 4 月 (マイクロソフト:2003/04/08)


山下 眞一郎(Shinichiro Yamashita)
株式会社 富士通南九州システムエンジニアリング
第一ソリューション事業部ネットソリューション部 プロジェクト課長
yamaアットマークbears.ad.jp


 「今週のSecurity Check [Windows編]」は,IT Proセキュリティ・サイトが提供する週刊コラムです。Windows関連のセキュリティに精通し,「Winセキュリティ虎の穴」を運営する山下眞一郎氏に,Windowsセキュリティのニュースや動向を分かりやすく解説していただきます。(IT Pro編集部)