 |
 |
記事検索 |
特別企画 |
 |
||
|
||
【 2009/06/11 】 |
||
|
||
|
||
| ||
|
||
|
||
【 2009/06/09 】 |
||
|
||
|
||
| ||
|
||
|
||
【 2009/06/08 】 |
||
|
||
|
||
| ||
|
||
|
||
【 2009/06/04 】 |
||
|
||
|
||
| ||
|
||
|
||
【 2009/06/02 】 |
||
|
||
|
||
| ||
|
||
|
||
【 2009/05/28 】 |
||
|
||
|
||
| ||
|
||
|
||
【 2009/05/26 】 |
||
|
||
|
||
| ||
|
||
|
||
【 2009/05/21 】 |
||
|
||
|
||
| ||
| ||
|
||
|
||
【 2009/05/15 】 |
||
|
||
|
||
| ||
|
||
|
||
【 2009/05/14 】 |
||
|
||
|
||
| ||
|
||
|
||
【 2009/04/16 】 |
||
|
||
|
||
|
|
||||||||
|
||||||||
|
||||||||
|
||||||||
|
||||||||
|
9月のマイクロソフトセキュリティ更新を確認する |
||||||||
|
||||||||
|
|
||||||||
|
||||||||
|
||||||||
|
||||||||
|
||||||||
|
||||||||
|
||||||||
|
マイクロソフトは12日、月例のMicrosoft Updateによるセキュリティ更新プログラム（修正パッチ）のリリース、セキュリティ情報の公開、および「悪意のあるソフトウェアの削除ツール」新版のリリースを行なった。 マイクロソフトではセキュリティ問題の深刻度を4段階にレベル分けしているが、今回のセキュリティ更新では、最大の深刻度である「緊急」に分類される脆弱性情報は1つ、その次の深刻度である「重要」が3つ報告されている。 ただし、今回は「緊急」の1つもWindows 2000のみが対象で、そのほかのセキュリティ更新もWindows XPやOSに標準添付されているプログラムが対象ではなく、一般ユーザーにとってはさほど神経質になるような脆弱性ではないと言ってもよいだろう。Windows XPを利用している一般的なユーザーであれば、Microsoft Update（Window Update）でパッチを自動的に適用すると、パッチ1つに削除ツールが最新版となる程度で、OSの再起動も必要ない。ある意味、非常に平穏な月例更新だったと言っていいだろう。 ただし、「重要」とされる3つに関しては、すでに内容がインターネットで公開されており、検証用のソースコードも存在が確認されている脆弱性であり、全く悪用を否定できるようなものではないので、注意が必要だろう。 以下に、公開されたセキュリティ更新の内容を見ていこう。 ● MS07-051：Microsoftエージェントの脆弱性 「MS07-051」は深刻度「緊急」とされている。リモートから標的PCにデータを送り込み実行させることが可能になる、OS本体にある脆弱性だ。ただし、データを送るためには、標的PCの利用者にデータを置いたWebサイトを表示させる必要があり、標的PC上で実行される悪意のプログラムもAdministrator権限ではなく、PCを利用したユーザーの権限で実行される。 また、この脆弱性を持つのはWindows 2000とMicrosoft エージェントの組み合わせだけと、条件がかなり限定される。これまでに公開されていない脆弱性情報のため、攻撃コードなども存在しないと思われる。その意味では、「緊急」の中では比較的脅威の度合いの小さい脆弱性だと言えるだろう。 Secuniaなどによると、この脆弱性の原因はMicrosoft エージェント ActiveXコントロールである「agentdpv.dll」の文字列境界エラーによるもの。特殊な加工をしたURLをこのコントロールに渡すことでスタックオーバーフローを起こし、その結果プログラムの実行が可能になるという。 ただし、「agentdpv.dll」はWindows XPなど他のOSにも含まれているファイルなのだが、そのオーバーフローがWindows 2000ではプログラム実行可能であるのに、その他のOSではDoSも引き起こさない、ということになっている。 ● MS07-052：Crystal Reports for Visual Studioの脆弱性 「MS07-052」は、マイクロソフト製のアプリケーションソフトCrystal Reports for Visual Studioに存在する脆弱性だ。深刻度は「重要」。具体的には、「Crystal Reports for Visual Studio」のRPTファイル（Crystal Reports形式のデータファイル）を処理する方法に問題があり、特殊な細工がされたファイルを読み込ませたときに、不正なプログラムが実行されることがある。 悪意の作者がプログラムを実行するような細工をしたRPTファイルをあるPC利用者に送りつけたような場合、受け取った側がファイルを読み込んで表示させてしまうと、その際に悪意のプログラムも一緒に実行させる、というようなことが可能になるわけだ。ちなみに、実行されるプログラムは、Administrator権限ではなく、そのプログラムを表示させた際に「Crystal Reports」を動かしていたユーザーの権限で実行されることになる。 「Crystal Reports」とは、レポートソフト（帳票ツール）の一種。「Crystal Reports for Visual Studio」はマイクロソフト純正のプログラム開発環境である「Visual Studio」に添付されるバージョンだ。つまり、基本的にこの脆弱性は、Visual Studioを使っているユーザーのみが対象となる。 開発者向け限定のウイルスプログラムを作るというならともかく、基本的には一般ユーザーが購入するようなソフトではなく、悪用される可能性は非常に低いと考えられる。ただし、この脆弱性の存在自体は、以前から一般に知られていたので、全く無警戒でいてよいものではないことに留意しておくべきだろう。 なお、このセキュリティ情報で公開されている情報によれば、対象はVisual Studioに付属する「Crystal Reports」であり、Windowsアプリケーションなどに組み込む場合に使われる「CrystalReports Developer」などは含まれていない。 ● MS07-053：Windows Services for UNIXの脆弱性 Windows Services for UNIXとは、マイクロソフトの販売しているソフトウェアパッケージで、Windowsに追加でインストールして使用する。具体的には、Windows Services for UNIXをインストールすることで、UNIXでよく使われる機能――NFSを利用してのファイル共有、ActiveDirectoryベースのNIS機能の提供、WindowsをTelnetサーバー化する、UNIXで使われるコマンドシェルの1つであるkshの提供など――が行なえるようになる。 「MS07-053」の脆弱性は、深刻度は重要で、ローカルでログインした悪意のユーザーがこの脆弱性を利用したプログラムを走らせることで、本来このユーザーに割り当てられていない特権ユーザーに昇格することができるというものだ。つまり、この脆弱性を悪用するには、標的ユーザーのユーザーIDをなんらかの形で持っていて、ローカルでログインする必要がある、ということだ。 このSfUというソフトは、用途から考えてもこのソフトはかなり特殊なソフトであり、この脆弱性も一般ユーザーにはまず影響のないものだと言ってもいいだろう。 ただ、マイクロソフトの説明によれば、この脆弱性は、インターネット上の極めて限られたコミュニティ内であるが、一応、実証コードが公開されているものだということだ。このサービスを利用しているWindowsサーバー管理者などは、この点留意しておくべきだろう。 ● MS07-054：MSN MessengerおよびWindows Live Messengerの脆弱性 「MS07-054」も、深刻度「重要」の脆弱性だ。9月のセキュリティ更新では唯一、一般ユーザーにも関係がありそうな脆弱性だが、Windows XPに標準添付のWindows Messangerは対象に入っていないので、影響を受ける範囲はある程度限定されると思われる。MSN Messenger 6.2/7.0/7.5、およびWindows Live Messenger 8.0に存在する脆弱性だ。これらメッセンジャーソフトのWebカメラまたはビデオ チャット セッション管理に問題があり、特別な細工がなされた「Web カメラまたはビデオ チャット セッションへの招待」を、標的のPCのユーザーが受け入れた場合に、悪意のプログラムが実行される可能性がある。 この脆弱性は、実証コードが中国語圏のクラッキングサイトなどで一般に公開されており、悪用もある程度プログラミングの知識があれば可能なもので、その意味ではある程度危険な脆弱性と言えるだろう。 マイクロソフトでも、この脆弱性が存在するMessangerのユーザーがサインインすると、MSN MessengerまたはWindows Live Messengerサービスにより、脆弱性に対応した、新しいバージョンに変えるように促すような表示をするようにしているようだ。該当するバージョンのユーザーは、表示がされた場合は、速やかに新バージョンを適用するようにすべきだろう。 ちなみに、このセキュリティ更新では、PC上のプログラムの一部のファイルに修正パッチを当てるのではなく、Messengerソフト自体を、MSN Messenger 7.0.0820、Windows Live Messenger 8.1などの対応バージョンに入れ替えることで対応されるようだ。 関連情報 ■URL マイクロソフト 2007年9月のセキュリティ情報 http://www.microsoft.com/japan/technet/security/bulletin/ms07-sep.mspx MS07-051 http://www.microsoft.com/japan/technet/security/Bulletin/MS07-051.mspx MS07-052 http://www.microsoft.com/japan/technet/security/Bulletin/MS07-052.mspx MS07-053 http://www.microsoft.com/japan/technet/security/Bulletin/MS07-053.mspx MS07-054 http://www.microsoft.com/japan/technet/security/Bulletin/MS07-054.mspx
（ 大和 哲 ）
- ページの先頭へ-
|