セキュリティ・ホールの概要と影響度

　Internet Explorer（IE）がCOMオブジェクトをインスタンス化する処理に脆弱性があり、リモート・コードが実行される危険がある。この脆弱性への修正プログラムは、これまでもMS05-037（JViewプロファイラの脆弱性によりリモートでコードが実行される）およびMS05-038（IEの累積修正）で公開されてきた。しかしこれらの対策は、脆弱性を抜本的に解消するものではなく、悪用される危険があるCOMオブジェクトのキルビット（ActiveXコントロールを実行不可にするための設定情報）をセットして、オブジェクトを無効にするというものだ。今回のMS05-052では、同様の対策として、さらに悪用の危険がある新たに発見された38個のCOMオブジェクトに対してキルビットを設定する。MS05-052の修正は、COMオブジェクトに対するMS05-037、MS05-038の対策をすべて包含している。これまでに公開されたMS05-037、MS05-038と、今回のMS05-052で対策されたCOMオブジェクトをまとめると以下のようになる。

　前述したとおり、脆弱性自体はかなり以前から公開されており、すでに脆弱性の攻撃を可能にする実証コードもインターネットなどで広く公開されている。なお英文のサイトではあるが、MS05-038の脆弱性に対する攻撃サイトがすでに確認されている。

• devenum.dllを悪用して攻撃を行う不正サイトに関する情報［英文］（WebSense）

　おもな攻撃対象は、IEでインターネットにアクセスするクライアント・コンピュータである。今回追加されたCOMオブジェクトを悪用する攻撃はいつ発生してもおかしくない。早期にパッチを適用する必要がある。

対象プラットフォーム

　今回修正プログラムが提供される環境は以下のとおりである。修正プログラムの適用には、表中の「対象プラットフォーム」にあるService Packの事前適用が必要である。

セキュリティ・ホールの概要と影響度

　DirectShowは、Windowsのマルチメディア用APIを提供するDirectXパッケージに含まれるAPIで、音声や映像の再生・録画などに利用される。Windows Media PlayerやDVDプレーヤ、MPEG録画ソフトウェアなどがDirectShowを利用している。

　このDirectShowのコンポーネントであるquartz.dllに未チェック・バッファが存在し、細工したAVI（Audio Visual Interleaved）ファイルを開くと、バッファ・オーバーフローが発生し、ファイルに仕込まれた任意のコードが実行される。DirectShowはWindows Media Playerでも利用されているので、細工されたAVIファイルをWebサイトに配置し、リンクをクリックさせたり、ページ内で自動的に再生開始させたりするなどの手段で、攻撃が実行される懸念がある。このように、AVIファイルの再生が攻撃実行のきっかけになるので、AVIファイルを登録できる掲示板などの利用には注意が必要だ。

対象プラットフォーム

　今回修正プログラムが提供される環境は以下のとおりである。修正プログラムの適用には、表中の「対象プラットフォーム」にあるService Packの事前適用が必要である。

セキュリティ・ホールの概要と影響度

　MS05-051の脆弱性は、COM+のメモリ処理やMSDTC（Microsoft Distributed Transaction Coordinator）の未チェック・バッファなど、以下の4つの脆弱性で構成される。

■MSDTCの脆弱性（CVE：CAN-2005-2119、最大深刻度＝緊急）
　分散トランザクション処理を行うMSDTC機能に未チェック・バッファの脆弱性が存在する。これにより、細工されたメッセージをMSDTCが受信すると、任意のコードが実行される危険性がある。

　最も危険性が高い環境はWindows 2000である。Windows 2000では、デフォルトでMSDTCが有効に設定されており、リモートからの匿名攻撃を受ける危険がある。Windows XP SP1環境では、デフォルトではMSDTCは開始されない設定だが、MSDTCが開始されている場合にはWindows 2000と同じくリモート・コード実行の危険がある。

　Windows XP SP1でMSDTCを開始していない場合、およびWindows Server 2003 SP未適用環境では、攻撃には有効なログオン情報が必要なので、匿名攻撃は受けない。

　Windows XP SP2とWindows Server 2003 SP1は、この脆弱性の影響を受けない。

■COM+の脆弱性（CVE：CAN-2005-1978、最大深刻度＝緊急）
　スレッド割り当てやセキュリティなどのリソース管理タスクをネットワーク上の複数のオブジェクトに対して処理するCOM+サービスが、メモリ構造体を作成・使用する際の処理に脆弱性があり、リモートで任意のコードを実行される危険性がある。

　Windows 2000とWindows XP SP1／1aではリモート攻撃が可能なので、特に注意が必要だ。なおマイクロソフトは、Windows XP SP2およびWindows Server 2003 SP未適用／SP1ではリモート攻撃が困難であるとしている。

■TIPの脆弱性（CVE：CAN-2005-1979／CAN-2005-1980、最大深刻度＝警告）
　MSDTCが異種のトランザクション・マネージャによる分散トランザクションの協調を可能にするTIP（Transaction Internet Protocol）のリクエストを検証する過程に2種類の脆弱性が存在する。これにより、細工されたメッセージを受信するとMSDTCが応答しなくなる、サービス拒否を引き起こす。ただし、TIPは古いプロトコルで、新しいアプリケーションでは利用されておらず、Windows XP SP1以降やWindows Server 2003ではTIPはデフォルトでは有効化されていない。しかし、Windows 2000ではデフォルトでTIPが有効化されているため、標準の状態でこの脆弱性の影響を受ける。

適用時の注意

　このMS05-051の修正プログラムについては、適用によって発生する不具合が報告されている。現象はかなり致命的なので、適用前に情報を一読し、障害が発生した場合でも対応できるようにしておこう。

　具体的には、MS05-051の適用によって以下のような症状が発生する場合がある。

• Windowsインストーラが起動しない。

• Windowsファイアウォール・サービスが起動しない。

• 「ネットワーク接続」フォルダがブランクになる。

• Windows Update Webサイトが、「IEコンテンツ・セキュリティ設定の『UserDataの常設』オプションを変更せよ」という無意味な内容のエラーを表示する。

• IISで実行されているASPページが「HTTP 500 ? Internal Server Error」を表示する。

• Microsoft COM+ EventSystemサービスが起動しない。

• COM+アプリケーションが起動しない。

• Microsoft Component Services MMCツリーでコンピュータ・ノードが展開しない。

• 認証ユーザーがログオンできない。MS05-051適用後、画面がブランクになる。

　不具合の原因は、MS05-051の適用により、COM+カタログ・ファイル（.clb）へのアクセス制限が厳密になるためである。MS05-051適用前は、明示的なアクセス権がなくてもカタログ・ファイルにアクセス可能だったが、MS05-051がこの条件を変更してしまう。デフォルトの状態からアクセス権を変更していなければ問題は起きないが、アクセス権が変更されていると、COM+アプリケーションがカタログにアクセスできなくなり、さまざまな問題を引き起こす。

　アクセス権を変更している場合には、%windir%\registration以下にあるCOM+カタログ・ファイルに対して、次のようなアクセス権設定を行う。

　詳細については、以下のマイクロソフト・サポート技術情報を参照のこと。

• Systems that have changed the default Access Control List permissions on the %windir%\registration directory may experience various problems after you install the Microsoft Security Bulletin MS05-051 for COM+ and MS DTC［英文］（MSKB）

対象プラットフォーム

　今回修正プログラムが提供される環境は以下のとおりである。修正プログラムの適用には、表中の「対象プラットフォーム」にあるService Packの事前適用が必要である。

セキュリティ・ホールの概要と影響度

　ネットワークOSのNetWare用クライアント・サービス（CSNW：Client Service for NetWare）に未チェック・バッファの脆弱性があり、攻撃者のリモート・コードが実行される危険がある。CSNWは、NetWareサーバが提供する各種サービス（ファイル、印刷、ディレクトリ・サービスなど）を利用可能にするサービスである。

　NetWareは、MS-DOS時代のネットワークOSとして、特に米国で広く普及したが、インターネットとTCP/IPプロトコルが一般化した現在では、それほど使われなくなった。実際、今回の脆弱性の対象であるCSNWは、Windows 2000／Windows XP／Windows Server 2003とも、デフォルトでは有効に設定されない。従って明示的に指定してCSNWがインストールされないかぎり、脆弱性の影響は受けない。

　CSNWがコンピュータにインストールされているかどうかを確認するには、ネットワーク・アダプタのプロパティを開き、［全般］タブでリストアップされているクライアント／サービス／プロトコルの一覧に注目する。この一覧に「NetWare 用クライアント サービス」あるいは「NetWare 用ゲートウェイ (とクライアント) サービス」が表示される場合は、CSNWがインストールされている。脆弱性自体はリモート・コード実行を可能にするという危険性の高いものであり、万一悪用されると、攻撃者にコンピュータの制御が奪われる可能性がある。CSNWがインストールされている場合は、修正プログラムをすぐに適用する必要がある。

対象プラットフォーム

　今回修正プログラムが提供される環境は以下のとおりである。修正プログラムの適用には、表中の「対象プラットフォーム」にあるService Packの事前適用が必要である。

セキュリティ・ホールの概要と影響度

　Windows 2000／XPのプラグ・アンド・プレイ・サービスがデータを検証する方法に脆弱性が存在し、リモートでコードが実行される危険性がある。攻撃者からの細工されたメッセージを受信することによりこの脆弱性が悪用される。その際、攻撃者のリモート・コードが実行され、特権の昇格が実行されて、コンピュータの制御が完全に奪われる危険がある。ただしWindows Server 2003は、問題部分の実装が異なることから、脆弱性の影響を受けない。

　MS05-047の脆弱性は、プラグ・アンド・プレイ・サービスを提供するUMPNPMGR.DLLでスタックのバッファ・オーバーフローが発生することにより起こる。

　リモート・コード実行の脆弱性なので危険性は高いのだが、匿名の攻撃者によってリモート・コードが実行される環境は限定的である。基本的な条件は、前述したMS05-045のそれに等しい（ただしMS05-045と異なり、Windows Server 2003は影響を受けない）。

　最も危険性が高いのは、Windows XP SP1／SP1aの環境で「管理ファイルの共有」機能を有効に設定している場合である。この場合攻撃者は、リモートから匿名攻撃をしかけることが可能である。つまり、インターネットからの匿名攻撃を受ける危険がある。

　Windows 2000、およびWindows XP SP1／SP1aで「簡易ファイルの共有」機能を無効にしている場合は、攻撃者は有効なログオン資格情報を所有している場合のみリモート攻撃が可能だ。つまりリモート攻撃は可能だが、匿名攻撃はできない。

　Windows XP SP2では、リモート攻撃自体が不可能で、攻撃するにはコンピュータにローカル・ログオンして攻撃用プログラムを実行する必要がある。感染したウイルスやワームがさらに感染を広げる際に悪用される可能性が考えられる。

　Windows NT 4.0はすでにサポート期間が終了しており、マイクロソフトから修正プログラムは提供されないが、報告者であるeEye Digital Securityでは、Windows NT 4.0も今回の脆弱性の対象となると警告している。Windows NT 4.0では修正プログラムが提供されないので、ファイアウォールで受信パケットをブロックするなどの回避策を実施する必要がある。

対象プラットフォーム

　今回修正プログラムが提供される環境は以下のとおりである。修正プログラムの適用には、表中の「対象プラットフォーム」にあるService Packの事前適用が必要である。

セキュリティ・ホールの概要と影響度

　Collaboration Data Objects（CDO）は、アプリケーションやスクリプトなどによるメールの作成や変更を支援するCOMコンポーネントである。Windows 2000／XP／Server 2003とExchange 2000 ServerのCDO（Exchange Server 2003は影響を受けない）に未チェック・バッファの脆弱性が存在し、リモートで任意のコードを実行される危険性がある。細工されたメッセージをCDOSYS（CDO for Windows OS。Windowsに付属のCDO）あるいはCDOEX（CDO for Exchange。Exchange Serverに付属のCDO）が処理すると、最悪の場合、コンピュータの制御が完全に奪われてしまう。

　デフォルトの状態では、Cdosys.dllおよびCodex.dllは使用されない。しかしメッセージ処理にCDOを利用するアプリケーションを利用している場合には、この脆弱性が悪用される危険がある。CDOは対象プラットフォームに標準でインストールされている機能であり、たとえ現在は利用していなくても、将来追加インストールするプログラムが利用する可能性もあるので、そのような場合でも修正プログラムを適用した方がよい。

　なおFrSIRTは、この脆弱性に対する実証コードを以下のサイトで公開した。

• Microsoft Collaboration Data Objects Buffer Overflow PoC Exploit (MS05-048) ［英文］（FrSIRT）

対象プラットフォーム

　今回修正プログラムが提供される環境は以下のとおりである。修正プログラムの適用には、表中の「対象プラットフォーム」にあるService Packの事前適用が必要である。

セキュリティ・ホールの概要と影響度

　Windowsシェル、およびエクスプローラの処理に関する複数の脆弱性があり、ショートカット・ファイル（.lnkファイル）のプロパティ処理部分や、エクスプローラのプレビュー・フィールド処理部分など、Windowsシェルおよびエクスプローラに複数の脆弱性があり、任意のコードが実行される危険性がある。

　攻撃に明示的なユーザー操作が伴うため、最大深刻度は「重要」となっているが、以下に述べるとおり、サイトに設置された攻撃用リンクをクリックしただけで攻撃が実行される脆弱性なので注意が必要だ。

　MS05-049の修正プログラムは、以下の3つの脆弱性を解消する。

■シェルの脆弱性（CVE：CAN-2005-2122、最大深刻度＝重要）
　Windowsのショートカット・ファイル（.lnk）のプロパティ処理部分に脆弱性があり、ファイルを開くだけで任意のコードが実行される危険がある。攻撃用に細工した.lnkファイルのリンクをWebページに配置し、ユーザーにそのリンクをクリックさせるだけで攻撃が実行できる。アドウェアやスパイウェアのインストールなどに悪用される懸念がある。

■シェルの脆弱性（CVE：CAN-2005-2118、最大深刻度＝重要）
　上記の脆弱性と同様、Windowsの.lnkファイルのプロパティ処理部分に脆弱性があり、細工された.lnkファイルのプロパティをWindowsで表示すると、任意のコードが実行される危険がある。

■Webの表示のスクリプト・インジェクションの脆弱性（CVE：CAN-2005-2117、最大深刻度＝警告）
　Windowsエクスプローラの「Webの表示」機能で、ドキュメント・フィールド内に仕込まれたHTMLデータが正しく検証されない脆弱性が存在する。この脆弱性により、細工されたファイルをWindowsエクスプローラでプレビューすると、フィールド内に仕込まれたスクリプトが実行されてしまう。

対象プラットフォーム

　今回修正プログラムが提供される環境は以下のとおりである。修正プログラムの適用には、表中の「対象プラットフォーム」にあるService Packの事前適用が必要である。

セキュリティ・ホールの概要と影響度

　Windowsに標準搭載されているFTPクライアントが、FTPサーバから受信したファイルのファイル名検証を正しく行わないという脆弱性がある。これが悪用されると、攻撃者が細工した不正なファイル名を持つファイルをダウンロードしたとき、本来とは異なるフォルダにファイルが保存される可能性がある。

　例えば、この方法で「スタートアップ」フォルダにファイルが保存されると、次回、ユーザーがWindowsにログオンしたときに、そのプログラムが自動起動されることになる。この脆弱性を攻撃するだけでは、直接的にリモート・コードを実行することはできないが、このような手法により、結果として攻撃者のコードが起動される恐れがある。スパイウェアやアドウェアなどへの悪用が懸念される脆弱性である。

　FrSIRTは、この脆弱性に対する実証コードをサイトで公開した。

• Microsoft Windows FTP Client File Transfer Location Tampering Exploit［英文］（FrSIRT）

対象プラットフォーム

　今回修正プログラムが提供される環境は以下のとおりである。修正プログラムの適用には、表中の「対象プラットフォーム」にあるService Packの事前適用が必要である。

セキュリティ・ホールの概要と影響度

　LANやダイヤルアップ接続、VPN接続など、コンピュータのネットワーク接続を管理するOSコンポーネントのネットワーク接続マネージャ（NCM：Network Connection Manager）に未チェックバッファの脆弱性があり、サービス拒否攻撃に悪用される危険がある。NCMは、ユーザーがコンピュータにネットワーク接続を追加する場合などに起動され、必要な処理を行う。

　攻撃者が特別に細工したリクエストをNCMが受信すると、コンポーネントの応答が停止する。停止したコンポーネントは、新しいリクエストを受信すると再び起動する。

　この脆弱性を悪用しても、攻撃者のリモート・コードなどが実行されるわけではなく、あくまでもサービス拒否攻撃が可能になるだけだ。しかし攻撃を受けた場合、システムが突然停止し、再起動する可能性があるので、注意していただきたい。

　ただし特定のケースを除き、この脆弱性を攻撃するには、攻撃対象となるコンピュータに対する有効なログオン資格を持つか、ローカル・ログオンする必要があるため、インターネットなどからリモート攻撃を受ける可能性は低い。

　具体的には、Windows 2000／Windows XP SP1／Windows Server 2003 SP未適用では、有効なログオン資格情報を持っている場合のみリモート攻撃が可能、Windows XP SP2／Windows Server 2003 SP1では、ローカル・ログオンしなければ攻撃できないので、リモート攻撃自体が不可能だとされる。

　注意が必要なのは、Windows XP SP未適用／SP1／SP1aで、「簡易ファイルの共有」機能を有効にしている場合である。この場合、外部からコンピュータへの全てのアクセスに対しguestアカウントが適用される（これを「ForceGuest」と呼ぶ）。従ってこのケースでは、リモートからの匿名攻撃が可能になってしまう。

　なおFrSIRTは、この脆弱性に対する実証コードを以下のサイトで公開した。

• Microsoft Windows Network Connection Manager Local DoS Exploit (MS05-045)［英文］（FrSIRT）

対象プラットフォーム

　今回修正プログラムが提供される環境は以下のとおりである。修正プログラムの適用には、表中の「対象プラットフォーム」にあるService Packの事前適用が必要である。