IIS向けの累積修正プログラムが公開,順番に注意しながら適用を

【国内記事】2002.4.11

 マイクロソフトは4月10日,Internet Information Server/Serivce(IIS)向けの累積的な修正プログラム(MS02-018)を公開した。この修正プログラムは,これまでに公開されたすべてのパッチが含まれているほか,新たに10個のセキュリティ上の脆弱点を修正するものだ。

 MS02-018で新たに修正される問題点は,バッファオーバーフローを引き起こす可能性があるものが5種類。さらに,DoS(サービス拒否)の引き金になりかねない問題が2種類,クロスサイトスクリプティング問題に関するものが3種類だ。

 バッファオーバーフローに関する問題では,攻撃者がサーバをダウンさせたり,悪くすればサーバ上のプログラムを実行できてしまう可能性がある。またクロスサイトスクリプティング問題が悪用されれば,アクセスしてきたエンドユーザーに被害が及ぶ。いずれも非常に深刻なものだ。10個の問題点のうち4つについては,マイクロソフトも深刻度を「高」としている。

 したがって,細かな説明はともかく,Windows NT 4.0/2000/XP上でIIS4.0,もしくはIIS 5.0/5.1を稼働させているユーザーは,速やかにパッチをダウンロードし,適用すべきだ。現在公開されているのはPC/AT互換機向けのパッチで,以下から入手できる。

IIS 4.0+Windows NT 4.0用(Service Pack 6aの適用が必要)

IIS 5.0+Windows 2000用(Service Pack 1もしくは2の適用が必要)

Internet Information Services 5.1(Windows XP)用

 ただし,NEC PC-9800シリーズ向けのIIS 5.0用パッチは,4月11日午後7時時点ではまだ公開されていない。マイクロソフトでは現在,その準備を進めているということなので,このプラットフォームのユーザーは,逐次同社サイトで情報を確認することをお勧めする。

 このパッチは,MS01-044で提供された修正プログラムを含むものだが,過去にIIS 4.0向けに公開された「MS00-028」「MS00-025」「MS99-025」「MS99-013」は含まれていないので,別途適用する必要がある。

 さらに,Front Page Server ExtensionsやIndex Server向けの修正プログラム(MS01-043,MS01-025,MS00-084,MS00-063,MS00-006)も含まれていない。これらを利用していなければ別だが,稼動させている場合には,やはり別途適用する必要がある。

 マイクロソフト日本法人に確認したところ,11日午後6時の時点では,MS02-018の適用が原因となり,何らかのトラブルが発生したというケースは寄せられていないという(まだ公開されてから丸1日も経過していないため,もっともかもしれないが)。

 同社は,ユーザーにはぜひ,「公開している情報を確認し,SPも含めて適用の順番に気を付けながら,速やかにパッチを適用してほしい」(同社広報)としている。

 さらに万全を期すならば,IIS Lockdown Tool 2.1を利用して不必要なサービスを停止させたり,URLScan 2.0によって,IISに対するURLリクエストをフィルタリングすることも,防御を固める手段となる。

 なお,まだ編集部ではベースラインXMLファイルの状況を確認できていないが,改めてHFNetChk,および数日前に公開された,GUI版のパッチ適用状況確認ツール「Microsoft Baseline Security Analyzer」を用いて,パッチがきちんと適用されているか,また設定ミスがないかを確認しておくほうが望ましいだろう。

 なおマイクロソフトでは,この累積パッチを,Windows 2000 Service Pack 3,ならびにWindows XP Service Pack1に組み込む予定という。

関連リンク

▼マイクロソフトによる要約情報「MS02-018 に関する情報」

▼マイクロソフトによる詳細情報「Internet Information Services 用の累積的な修正プログラム (Q319733) (MS02-018)」

[高橋睦美 ,ITmedia]



Special

- PR -

Special

- PR -