マイクロソフトは9日、情報漏洩やサービス拒否(DoS)が発生する可能性のある脆弱性「MS04-017」を公開した。深刻度は上から3番目の「警告」。
MS04-017は、Visual Studio .NET 2003に含まれる「Crystal Reports」に発見されたもの。Crystal Reportsは米Business Objects社の製品だが、Visual Studio .NET 2003などに含まれているために影響を受けるという。ただし、Internet Information Services(IIS)がインストールされていないシステムでは、脆弱性の影響を受けない。
原因は、Crystal Reportsが特定のHTTPリクエストを受け取る際にデータをきちんと検証しないため。したがって、Visual Studio .NET 2003とIISを利用しているシステムでは、細工を施されたHTTPリクエストを受け取ると、本来はアクセスを許可していないファイルなどにアクセスされる可能性がある。これにより、攻撃者にファイルを取得・削除され、情報漏洩やDoSが発生する可能性があるとしている。
対象OSは、Visual Studio .NET 2003、Outlook 2003 with Business Contact Manager、Microsoft Business Solutions CRM 1.2。ただし、Outlook 2003 with Business Contact ManagerやBusiness Solutions CRM 1.2は英語版のみしか提供されておらず、日本語版は存在しない。
この脆弱性を修正するためには、マイクロソフトが提供しているパッチを適用すること。Windows Updateおよび同社Webサイト上からダウンロードできる。
関連情報
■URL
MS04-017
http://www.microsoft.com/japan/technet/security/bulletin/ms04-017.asp
FAQ
http://www.microsoft.com/japan/technet/security/bulletin/fq04-017.asp
( 大津 心 )
2004/06/09 13:34
- ページの先頭へ-
|