 |
 |
記事検索 |
特別企画 |
 |
||
|
||
【 2009/06/11 】 |
||
|
||
|
||
| ||
|
||
|
||
【 2009/06/09 】 |
||
|
||
|
||
| ||
|
||
|
||
【 2009/06/08 】 |
||
|
||
|
||
| ||
|
||
|
||
【 2009/06/04 】 |
||
|
||
|
||
| ||
|
||
|
||
【 2009/06/02 】 |
||
|
||
|
||
| ||
|
||
|
||
【 2009/05/28 】 |
||
|
||
|
||
| ||
|
||
|
||
【 2009/05/26 】 |
||
|
||
|
||
| ||
|
||
|
||
【 2009/05/21 】 |
||
|
||
|
||
| ||
| ||
|
||
|
||
【 2009/05/15 】 |
||
|
||
|
||
| ||
|
||
|
||
【 2009/05/14 】 |
||
|
||
|
||
| ||
|
||
|
||
【 2009/04/16 】 |
||
|
||
|
||
|
|
||||||||||
|
||||||||||
|
||||||||||
|
||||||||||
|
||||||||||
|
6月のMicrosoft Updateを確認する（前編） |
||||||||||
|
||||||||||
|
|
||||||||||
|
||||||||||
|
||||||||||
|
||||||||||
|
||||||||||
|
||||||||||
|
||||||||||
|
今月のセキュリティ更新は全部で12。そのうち、最高に危険なレベルであることを示す最大深刻度が緊急のものが8つある。今月は緊急の8つについて見ていこう。 まず、前編ではそのうちの3つ、「MS06-021」「MS06-022」「MS06-023」について脆弱性、セキュリティ更新プログラムの内容を確認する。 ● MS06-021：Internet Explorer 用の累積的なセキュリティ更新プログラム（916281） 「MS06-021」は、複数の脆弱性を一度に塞ぐセキュリティパッチとなっている。この中には致命的な脆弱性もあり、また、すでにコンセプト実証コードとして存在を実証するサンプルプログラムが以前からインターネット上で公開されていた脆弱性もある。脆弱性自体はできるだけ早急に更新プログラムを使って塞いでしまいたい。が、この更新プログラムには、副作用も多い。できるだけ早くにリスク判断を行ない、インストールの可否を決定すべき（そして、できるなら適用すべき）セキュリティ更新だろう。 このセキュリティ更新で塞ぐことのできる脆弱性の内容を以下に挙げてみよう。 ・例外処理のメモリの破損の脆弱性 - CVE-2006-2218 例外処理とは、エラーが発生した場合に処理を行うエラーハンドラのことだ。この脆弱性はSecuniaが報告したもので、例外処理プログラムを登録した場合に、例外処理を適切に行なわないとメモリ破損が引き起こされる。ただしこの場合、不正なプログラムで利用できるのはこのエラーハンドラが実行されている権限と同じローカルユーザー権限となる。従って、administratorでWindowsを操作していなければ危険はそれほど大きくないようだ。これを悪用したコードなどは公開されておらず、危険はそれほど大きくなさそうだ。 ・ HTML デコーディングのメモリの破損の脆弱性 - CVE-2006-2382 3comの一部門であるTippingPointと、Tipping Pointが中心となって運営しているZero Day Initiativeによって報告された脆弱性だ。Internet Explorerには、UTF-8エンコードされた文字を解釈する際に、変換に必要な必要なバッファサイズの計算ミスをするバグがあるという。このため、ある特定の文字をブラウザに表示させると、任意のコードをリモートから実行可能になる脆弱性が存在するというものだ。この脆弱性を悪用するようなコードは公開されていないが、原理上、JavaScriptやActiveXを実行しない設定にしている、安全なはずのInternet Explorerでも、表示させるだけで乗っ取ることができるという危険な脆弱性だ。できるだけ早めに塞いでおくべきだろう。 ・ActiveX コントロールのメモリの破損の脆弱性 - CVE-2006-2383 CERT/CCのWill Dormann 氏によって報告された問題で、Internet Explorerを異常終了させ、任意のコードを実行させる可能性があるという脆弱性だ。具体的には、以下のActiveX コントロールにあるデータを送信した場合異常終了するために起こる可能性がある脆弱性ということだ。 DXImageTransform.Microsoft.MMSpecialEffect1Input DXImageTransform.Microsoft.MMSpecialEffect1Input.1 DXImageTransform.Microsoft.MMSpecialEffect2Inputs DXImageTransform.Microsoft.MMSpecialEffect2Inputs.1 DXImageTransform.Microsoft.MMSpecialEffectInplace1Input DXImageTransform.Microsoft.MMSpecialEffectInplace1Input.1 ・ COM オブジェクトのインスタンス化のメモリ破損の脆弱性 - CVE-2006-1303 以前から延々と続いている問題だ――MS05-054「COM オブジェクトのインスタンス化のメモリ破損の脆弱性」と同様に、問題のあるCOM オブジェクトのクラス識別子（CLSID）のリストにKill Bitを設定する。具体的には、以下のクラス識別子に設定される（カッコ内はファイル名）。 B4DC8DD9-2CC1-4081-9B2B-20D7030234EF（Wmm2fxa.dll） C63344D8-70D3-4032-9B32-7A3CAD5091A5（Wmm2fxa.dll） 353359C1-39E1-491b-9951-464FD8AB071C（Wmm2fxa.dll） ・CSS クロス ドメインの情報の漏えいの脆弱性 - CVE-2005-4089 この脆弱性は、インターネット上でコンセプト検証用コードが公開されている。クロスサイトスクリプティングの問題であり、Windowsの乗っ取りなどと比べれば深刻でないが、フィッシングなどに利用される可能性も高く、早めにセキュリティ更新によって脆弱性を塞ぐべき問題だろう。 ・アドレス バーの偽装の脆弱性 - CVE-2006-1626およびCVE-2006-2384 CVE-2006-2384に関してはITsec Security ServicesのYorick Koster氏、およびhoshikuzu|star_dust氏によって報告された。CVE-2006-1626のほうの脆弱性は、インターネット上で、コンセプト検証用コードが公開されている問題で、「CSSクロス ドメインの情報の漏えいの脆弱性 - CVE-2005-4089」と同様にフィッシングなどに利用される可能性も高く、早めにセキュリティ更新によって脆弱性を塞ぐべき問題だ。 ・MHT メモリの破損の脆弱性 - CVE-2006-2385 DISC の John Jones 氏によって報告された脆弱性で、multipart HTML （.mht） ファイルを保存する方法にリモートでコードが実行される脆弱性が存在する、というものだ。現在のところ、具体的な実行方法の情報はないが、それほど難しくない方法で実行が可能なのではないかと考えられる。リモートでコードが実行されるとのことなので、早急に塞いでおきたい脆弱性だ。 ● MS06-021：セキュリティパッチの副作用 「MS06-021」のセキュリティ更新には、以下のような大きな副作用、制約がある。
4月のセキュリティアップデート時に、4月の月例パッチ前に、Webコンテンツを修正するという記事で紹介した。4月に公開されたセキュリティ更新「MS06-013」を利用すると、ActiveXの動作がこれまでと変わってしまう。具体的には、動作させる前に一度マウスでのクリックが必要になるなどの制約が発生するのだが、この動作の変更を、セキュリティパッチ適用以前の状態に戻す「ActiveXの互換性修正プログラム」がマイクロソフトから配布されていた。 この「MS06-021」のセキュリティ更新を行なうと、適用した互換性修正プログラムが無効化されてしまう。 つまり、マイクロソフトが推奨する方法を使わず、HTMLデータ中に直接EMBEDタグでActiveXが貼り付けられているページを表示させると「このコントロールをアクティブ化して使用するにはクリックしてください」というメッセージが表示されることになる。 また、WindowsにJavaランタイムとして、Java2 Standard Edition（J2SE）を使用していた場合、Internet Explorer上などでアプレットを表示させ、ActiveX アプレット コントロールをクリックした場合も、これまでとは違い、アプレット画面にフォーカスが移動しない。 なお、この「MS06-021」を適用した後で、ActiveXの互換性修正プログラムを適用しようとすると、「インストールされているInternetExplorerのバージョンは、インストールしようとしている更新に一致しません」というメッセージが出てはじかれてしまうことになる。 「MS06-021」自体は多くの致命的な脆弱性を修正するパッチでもあり、緊急に適用が必要なパッチだ。 ActiveXの互換性を必要とするサイトを利用しなければならない場合、このパッチを当てるか当てないかは非常に難しい判断になるだろう。筆者の個人的な意見を言えば、セキュリティ更新の重要性を考えると、ActiveXの互換性問題が本当に致命的ではない限り、「MS06-021」のほうを当てるべきだろうと思うが……。 （2）このセキュリティ更新を適用すると、JScript（Javaスクリプトを含む）に脆弱性や互換性の問題が発生する。 具体的にどのような問題が発生するのかが公表されていないため詳細は不明だが、「MS06-021」を適用すると、 Microsoft JScriptにリモートでコードが実行されるという致命的な脆弱性が発生し、また、互換性の問題が発生する、とされている。そのため、この「MS06-021」を適用した場合、「MS06-023」も適用するよう推奨されている。 通常のアップデート方法＝Microsoft UpdateやSecurity Update Serviceを利用してセキュリティ更新を行なっている限りにおいては、「MS06-021」を適用していて「MS06-023」は適用しないという状況は考えにくい。しかし、念のために、前述のような情報が出ていたことは覚えていたほうがいいだろう。 ● MS06-022：ARTの画像表示の脆弱性により、リモートでコードが実行される（918439） Windows XP（SP1/SP2）、Windows Server 2003、Windows ME/98SE/98などで最大深刻度：緊急とされている脆弱性だ。米国のセキュリティコンサルタント会社、iDefenseによって報告されたもので、ブラウザなどに不正な.art形式画像ファイルを読み込ませるとWindowsに任意のプログラムを走らせることができるという脆弱性だ。聞きなれないフォーマットだと思うが、ARTは、もともとAOL（アメリカオンライン）で利用されている画像フォーマットだ。AOLは、Internet Explorerが配布されるようになる以前から専用の通信ソフトを使って画像付のBBSを楽しむことができたが、このソフトなどで利用されているのがART形式画像だ。圧縮効率がよく、また読み込み途中でも荒い画像を先に画面に表示できるという特徴を持っている。 Internet Explorerでは、4.0以降をインストールしたWindows、およびAOL Image Support UpdateがインストールされたWindowsでは、このART形式の画像を、拡張子.artとして読み込ませると表示ができるようになっていた。 iDefenceの発表によると、脆弱性の原因は、以下に挙げるART画像の表示ライブラリに、バッファオーバーフローを引き起こす箇所が存在するということだ。 \windowssystem32\jgpl400.dll \windowssystem32\jgdw400.dll \windowssystem32\jgaw400.dll \windowssystem32\jgsd400.dll \windowssystem32\jgmd400.dll \windowssystem32\jgsh400.dll .art形式という、あまりなじみのない画像形式だが、この脆弱性を利用した不正な.art画像をブラウザで表示させるだけでWindowsをリモートで乗っ取ることができる可能性がある。 現在のところ、この脆弱性の実証コードや悪用したプログラムは出回っていないが、仕組み的にはそう難しいものではないので、比較的早期にそのようなコードが公開される可能性はある。念のために、早めに適用しておくべきセキュリティ更新だろう。 ● MS06-023：Microsoft JScriptの脆弱性により、リモートでコードが実行される（917344） 「MS06-021」のセキュリティ更新プログラムとセットで提供されたセキュリティ更新プログラムで、「MS06-021」と「MS06-023」は同時にインストールすることが推奨されている。具体的に、どのオブジェクトの操作で行なわれるのかは発表がないため不明だが、JScriptのオブジェクトの使用する際に、誤って、本来解放すべきタイミングより先にオブジェクトを解放指定してしまい、メモリ中に不正なプログラムを残すことができ、結果として任意のコードを実行できてしまうという脆弱性ではないかと考えられる。 Webページなどで使われているJavaスクリプトも、Internet ExplorerではこのJScriptのインタプリタが解釈して実行しており、この脆弱性を悪用したオブジェクトを貼り付けたWebページをブラウザで読み込ませることで、リモートから任意のプログラムをWindows上で実行できる可能性があるようだ。 正直に言って、この脆弱性そのものに関しては、情報が少なく、どの程度危険が差し迫っているのかを判断するのが難しいのだが、極めて緊急度の高いセキュリティ更新プログラムである「MS06-021」とペアで使うことが推奨されていることから、「MS06-021」と同様にできるだけ早急にインストールすべきセキュリティ更新プログラムだと考えておいたほうがいいだろう。 （後編につづく） ■URL MS06-021 http://www.microsoft.com/japan/technet/security/bulletin/ms06-021.mspx MS06-022 http://www.microsoft.com/japan/technet/security/bulletin/ms06-022.mspx MS06-023 http://www.microsoft.com/japan/technet/security/bulletin/ms06-023.mspx ■関連記事 ・ 6月のマイクロソフト月例パッチ、IEの累積的修正など12件を公開（2006/06/14） ・ 6月のMicrosoft Updateを確認する（前編）（2006/06/15）
（ 大和 哲 ）
- ページの先頭へ-
|
