 |
 |
記事検索 |
特別企画 |
 |
||
|
||
【 2009/06/11 】 |
||
|
||
|
||
| ||
|
||
|
||
【 2009/06/09 】 |
||
|
||
|
||
| ||
|
||
|
||
【 2009/06/08 】 |
||
|
||
|
||
| ||
|
||
|
||
【 2009/06/04 】 |
||
|
||
|
||
| ||
|
||
|
||
【 2009/06/02 】 |
||
|
||
|
||
| ||
|
||
|
||
【 2009/05/28 】 |
||
|
||
|
||
| ||
|
||
|
||
【 2009/05/26 】 |
||
|
||
|
||
| ||
|
||
|
||
【 2009/05/21 】 |
||
|
||
|
||
| ||
| ||
|
||
|
||
【 2009/05/15 】 |
||
|
||
|
||
| ||
|
||
|
||
【 2009/05/14 】 |
||
|
||
|
||
| ||
|
||
|
||
【 2009/04/16 】 |
||
|
||
|
||
|
|
||||||||
|
||||||||
|
||||||||
|
||||||||
|
||||||||
|
12月のマイクロソフトセキュリティ更新を確認する |
||||||||
|
||||||||
|
|
||||||||
|
||||||||
|
||||||||
|
||||||||
|
||||||||
|
||||||||
|
||||||||
|
マイクロソフトは13日、Microsoft Updateによる月例セキュリティ更新プログラム（修正パッチ）とセキュリティ情報の公開を行なった。 12月のセキュリティ更新では、WindowsとVisual Studioで新規7件、更新1件が公開された。うち3件は、深刻度「緊急」にランクされている。「緊急」のうち1件は、限定的ではあるものの、実際に0-day攻撃に利用された脆弱性だ。 なお、Office関係の脆弱性に関してだが、セキュリティソフトベンダーなどから5日、11日にそれぞれWordに脆弱性があることが公表され、ゼロディ攻撃も確認された（「Wordにパッチ未提供の脆弱性、Mac版にも影響」、「Wordにまた新たな脆弱性、ゼロデイ攻撃も確認」を参照）。 うち1件に関しては、マイクロソフトからセキュリティアドバイザリも公開されている（セキュリティ アドバイザリ（929433）――Microsoft Word の脆弱性により、リモートでコードが実行される）が、これらの脆弱性に関するセキュリティ更新は、今回は提供されていない。 以下では、まず最大深刻度「緊急」とされている新規のセキュリティ更新3件について内容を確認しよう。 ● MS06-078：Windows Media Formatの脆弱性により、リモートでコードが実行される（923689） 「MS06-078」は、以下2つの脆弱性に対応している。・Windows Media FormatのASF解析の脆弱性 - CVE-2006-4702 ・Windows Media FormatのASX解析の脆弱性 - CVE-2006-6134 Windows Media Playerが使用するライブラリ、WMVCORE.DLLのASF形式データ、ASX形式データの解釈部分にヒープオーバーフローを起こす箇所があり、ある細工をしたデータを再生させようとすると、Windows自体を落としたり、最悪、PCを乗っ取ることができる可能性があった。 これらは、0-day攻撃自体は確認されていないものの、11月にBugTraqメーリングリストで、一般に脆弱性の存在が公開され、検証用コードも投稿され詳細に知られている。 それによると、問題は、WMVCORE.DLLのデータ解釈の中でも、ASXファイルなどの中で「REF」「HREF」でURLを指し示す先を解釈する箇所に問題があり、不正なURLを指定することでPCを乗っ取ることが可能になるということのようだ。 これらASF、ASXという形式のファイルは、格納されているURLをブラウザのアドレスで指定すると、ブラウザで自動的に開いてしまう。つまり、悪用された場合、受動攻撃を引き起こすことが簡単に可能となる脆弱性である、ということだ。 マイクロソフトでは、現在のところこの脆弱性を悪用した攻撃は確認されていない、としてるが、技術的には比較的簡単に実現可能であるように思え、しかも、実行された場合、インパクトの大きな問題であるように筆者には感じられる。 できるだけ速やかに、このセキュリティ更新は適用しておくべきだろう。 ● MS06-073：Visual Studio 2005の脆弱性により、リモートでコードが実行される（925674） マイクロソフト セキュリティ アドバイザリで事前に公開されていた、Visual Studio 2005上でリモートでコードが実行されるという脆弱性に関するセキュリティ更新だ。この脆弱性に関しては検証用コードが一般に公開されており、この脆弱性を悪用する0-day攻撃も確認されている。なお、Visual StudioはWindowsやWindows Mobileなど、ほとんどのWindows系OS上でのソフトを開発する場合に使われるツールだ。Visual Studio上でWMIウィザードを実現しているActiveX コントロール、 WmiScriptUtils.dllに含まれるWMI Object Brokerというコントロールに脆弱性が存在する。つまり、Visual Studioをインストールして利用しているPCにのみこの脆弱性が存在し、Visual Studioで開発したソフトには問題はない。 セキュリティアドバイザリでは、「MS06-073」がこのActiveX コントロールにkill bitを設定することで回避できること、kill bitを設定するための.regファイルの作成方法が掲載されていた。今回のセキュリティ更新では、同様の対策をMicrosoft Updateで自動的に行なっているようだ。 ● MS06-072：Internet Explorer用の累積的なセキュリティ更新プログラム（925454） 「MS06-072」には、以下4つの脆弱性のセキュリティアップデートが含まれる。・スクリプト エラー処理のメモリ破損の脆弱性 CVE-2006-5579 ・DHTML スクリプト関数のメモリ破損の脆弱性 CVE-2006-5581 ・TIF フォルダの情報漏えいの脆弱性 CVE-2006-5578 ・TIF フォルダの情報漏えいの脆弱性 CVE-2006-5577 このうち特に問題となるのが、「スクリプト エラー処理のメモリ破損の脆弱性」「DHTML スクリプト関数のメモリ破損の脆弱性」の2つだろう。 「スクリプト エラー処理のメモリ破損の脆弱性」は、Internet Explorerが特定の状況でスクリプトエラーを処理した場合に、以前に開放されたメモリにアクセスしようとするため、Internet Explorerにリモートでコードが実行される可能性があるというもの。 何らかの形で、エラーを引き起こすような箇所と、それに続いて実行されるようなバイナリコードを含むスクリプトが書かれたWebページのデータをブラウザに読み込ませることで、任意のコードをリモート環境のPCに実行させることができるというもののようだ（ただし、どのようなエラーなのか、スクリプトがJScriptなのか、それともVBScriptなのかもわからないが）。 「DHTML スクリプト関数のメモリ破損の脆弱性」の方は、Zero Day Initiative（ http://www.zerodayinitiative.com/ ）により発見された脆弱性だ。同社サイトでの公開情報によれば、Internet ExplorerのDOMのnormalize()メソッドのメモリ管理に問題があり、このメソッドを使ったスクリプトを含むファイルを読み込ませることで、バッファオーバーフローを引き起こし、結果として任意のコードをリモート上のPCで実行させることができる、というもののようだ。 Javaスクリプトのユーザーの間では、以前から、Internet Explorerでは、splitText()を行なった後で、normalize()を行なうとブラウザがクラッシュするケースがあることが知られていた。筆者は、この問題が実は致命的なセキュリティホールであった可能性もあるのではないかと考えている。 2つとも一般には詳細な技術的情報は公開されず、攻撃に使われた形跡もない脆弱性だが、Windows XP SP2上のInternet Explorer 6、および、Windows 2000 SP4上のInternet Explorer6 SP1で、リモート上からPCにコードを送り実行させ、最悪の場合、PCを乗っ取れる可能性がある。忘れずに適用しておきたいセキュリティ更新だろう。 ● MS06-077：リモート インストール サービス（RIS）の脆弱性により、リモートでコードが実行される（926121） 続いて、深刻度「重要」のセキュリティ更新についてもざっと見ておこう。「MS06-077」は、Windows 2000 Service Pack 4のみが影響を受ける脆弱性への対応策だ。リモート インストール サービス（RIS） は、ネットワーク共有フォルダを、Windows 2000 Professionalファイルのインストール元として使用することで、新しいクライアントPCに離れた場所からOSインストールおよび設定ができるという仕組みだ。 脆弱性により、この際に配信されるOSの内容を、悪意のユーザーが書き換えることができる。配信されたOS内に悪意のコードを混入させることで攻撃が可能になるということだ。ただし、RIS サービスへのアクセス権を得るためには、ネットワークのアクセス許可を入手することが必要であるため、誰にでも攻撃が可能というわけではないが、TFTP匿名ユーザーによる書き込みが許可されてしまっているため、問題となったようだ。 この更新プログラムでは、RISのホストに、TFTP 匿名ユーザーによる書き込みを許可しないように設定することで、問題となる脆弱性を塞いでいるとのことだ。 ● MS06-076：Outlook Express用の累積的なセキュリティ更新プログラム（923694） このセキュリティ更新で、新たに対応する脆弱性は以下1点だ。・Windows アドレス帳の連絡先レコードの脆弱性 - CVE-2006-2386 Outlook ExpressのWindowsアドレス帳で、WAB形式ファイルを利用する機能にバッファをチェックする実装が欠けている部分があり、バッファオーバーフローを引き起こす可能性があるようだ。 この脆弱性を利用した場合、実行したユーザーと同じ権限で、バッファオーバーフローによって開始されたプログラムが実行されることになる。一般ユーザーなどの権限で実行している場合は、被害はある程度限定されると思われるが、Administrator権限でPCにログインしている場合は、さまざまな悪用が可能となるので注意すべきだろう。 ● MS06-075：Windowsの脆弱性により、特権が昇格される（926255） 影響を受けるソフトウェアは、 Windows XP Service Pack 2とServer 2003（for Itanium-based Systems含む）。Client Server Run Time Subsystem（CSRSS）によるマニフェスト ファイルの不適切なプロセスおよび管理が原因で、特権が昇格されるという脆弱性だ。 マニフェストファイルとは、アプリケーションの見かけや挙動などを定義できる、アプリケーションに添付されるファイルを指す。たとえば、アプリケーションのウィンドウやコントロールなどをWindows XPスタイルに変更するための定義、というような用途に使うことができる。一般的には、アプリケーションの実行ファイルがたとえばApplication.exeというファイル名であれば、Application.manifestというファイル名で提供される。 悪意のアプリケーション作者は、この脆弱性を悪用するようなマニフェストファイルを含むアプリケーションを作成することで、このアプリケーションをユーザーが一般ユーザー権限で実行していたとしても、管理者権限に移行し、勝手にユーザーを作成する、というようなことが可能になるわけだ。 単独で悪用が可能とは考えにくいが、他の脆弱性と組み合わせることで、スパイウェアなどへの応用も可能になりそうな脆弱性ではある。忘れずに適用しておきたいセキュリティ更新だろう。 ● MS06-074：SNMPの脆弱性により、リモートでコードが実行される（926247） SNMPとは、簡易ネットワーク管理プロトコルで、このプロトコルでの通信が可能なソフトを利用することで、ネットワーク経由で、リモートでサーバー、ワークステーション、ルータ、ブリッジ、ファイアウォールなどのネットワーク機器を管理が可能となる。マイクロソフト製品に限らず、多くのベンダーの製品が管理できる、業界標準のプロトコルだ。「MS06-074」は、Windows XP SP2/2000/Server 2003で利用されているSNMP サービスにバッファチェックが完全でない箇所があり、これを悪用することでリモート上のコンピュータを完全に乗っ取る可能性があるという脆弱性だ。 WindowsクライアントでSMNPサービスを利用しているというケースはそう多くなく、またLAN上でないと悪用が難しい脆弱性ではあるが、逆にそのような環境にアクセスできる悪意のユーザーの場合、致命的な破壊活動が比較的容易に可能になりそうな脆弱性だ。 念のため、ネットワーク管理者はSMNPを利用しているWindowsクライアントがないか、また、あった場合、このセキュリティ更新を適用しているかを確認しておくべきだろう。 ■URL 2006年12月のセキュリティ情報（マイクロソフト） http://www.microsoft.com/japan/technet/security/bulletin/ms06-dec.mspx マイクロソフト セキュリティ ホーム http://www.microsoft.com/japan/security/ ■関連記事 ・ MSが12月の月例パッチ7件を公開、WMPの脆弱性修正など“緊急”が3件（2006/12/13） ・ MS、10月公開の「MS06-059」でExcel 2002用修正パッチを再リリース（2006/12/13） ・ Microsoft、Mac版Officeの修正パッチを誤公開（2006/12/13） ・ Wordにまた新たな脆弱性、ゼロデイ攻撃も確認（2006/12/11） ・ Wordにパッチ未提供の脆弱性、Mac版にも影響（2006/12/06）
（ 大和 哲 ）
- ページの先頭へ-
|