エンタープライズ：ニュース 2003/09/18 21:23:00 更新


“No more MSBlast”――悪用コードの公開を受け政府、業界がパッチ適用を呼びかけ

MS03-039のセキュリティホールを悪用する実証コードが公開されたことを受け、3省庁や関連組織、ベンダーがいっせいに警戒を呼びかけ、パッチを適用するよう推奨している。

　MSBlastの悪夢を繰り返すな――政府、セキュリティベンダー、そしてマイクロソフトが、Windowsに存在するRPCサーバサービスのセキュリティホールを修正するパッチの適用をいっせいに呼びかけている。

　9月18日、警察庁と総務省、経済産業省は連名で、9月11日に公開されたWindows RPCのセキュリティホール（MS03-039）を修正するパッチを適用するよう呼びかけを行った。これに呼応して、情報処理振興事業協会セキュリティセンター（IPA/ISEC）が、「Windows RPCSS サービスの脆弱性について」と題するWebページを公開。またマイクロソフトも、先日公開した「Protect Your PC」キャンペーンのWebページに、「悪質なワームの発生の可能性が高くなっている」旨を追記し、セキュリティ対策の実施を呼びかけている。

　このように各組織、ベンダーが警戒を呼びかけているのには理由がある。MS03-039のセキュリティホールを悪用する実証コード（Exploit）が複数、流通しているからだ（別記事参照）。

　MS03-039とは異なるが、同じくWindows RPCに存在したセキュリティホール（MS03-026）が公になり、悪用コードが公開され、MSBlastが感染を始めるまでの時間軸は次のとおりだ。

日付（日本時間）動き
7月17日MS03-026の公開
7月25日Exploitの確認
8月2日Exploitを元にしたトロイの木馬の登場
8月4日〜5日トロイの木馬による攻撃を日本で確認
8月12日感染力を備えたMSBlast発生

　このように経緯を振り返ると、Exploitが確認された今、MS03-039についても同様の事態――MSBlast並みのワームが発生する可能性が高まってきたといわざるを得ない。

　現に警察庁では、9月17日の時点で実証コードを2種類入手。うち該当PCをサービス停止状態に追い込むDoSの実証コードについて解析を完了し、それが実際に日本語版Windows 2000／XPで効力を発揮することを確認した。もう1つのコードについても、動作確認を進めているという。

　またセキュリティベンダーのラックも、MS03-039の脆弱性を悪用して、標的システム上で任意のコードを実行できるという問題を日本語環境で再現したことを明らかにした。

　幸いなことに、今のところこのExploitを用いての攻撃らしきものは報告されていない。またラックによれば、トラフィック動向に顕著な変動は見られないという。しかし、問題再現を行ったラックの新井悠氏は、今後、さらにコードを改善（改悪？）させようとする動きが見られるだろうと予測。すぐさまワームの発生にはつながらないかもしれないが、パッチ適用を徹底するとともに、動向に注視するべきとしている。

　このように大々的に警告がなされているわけだが、パニックに陥る必要はまったくない。少なくとも、Windows Updateもしくはマイクロソフトのアドバイザリ経由でパッチの適用さえ怠らなければ、この脆弱性を悪用され、PCが停止したり、ワームに感染するおそれはなくなる。

　それ以外の対処については、9月11日の記事にまとめたほか、IPA/ISECやマイクロソフトのWebページにも記されている。

　強いて付け加えるとすれば、しばらくの間は普段以上にセキュリティ関連情報に気を配るべきだろう。ルータやファイアウォールなどのログを自ら確認できるスキルがあるならば、ログ出力レベルを普段よりも上げ、不審なパケットがないかどうかに留意しておくと、いち早くインシデントの兆候をつかむことができるだろう。

　また、MSBlastがお盆休み明けに感染を広めたことを反省するならば、休日中にワームが発生したケースを想定し、ユーザーへの情報告知策と持ち込みPCのチェック体制を今のうちに整えておくことも1つの手だ。

関連記事
▼MSBlast型の新ウイルス、すぐにも登場の可能性
▼数日で登場か、Windowsの新たな脆弱性に対応したウイルス
▼Windowsを危険にさらすRPCのセキュリティホール

関連リンク
▼警察庁
▼総務省
▼経済産業省
▼IPA/ISEC：Windows RPCSS サービスの脆弱性について
▼マイクロソフト：Protect Your PC
▼ラック：SNS Spiffy Reviews No.7

[高橋睦美，ITmedia]