Windows 2000のエクスプローラ機能に脆弱性、イスラエル企業が待ちきれず公開

イスラエルのGreyMagic Softwareは4月19日付けで、Windows 2000のエクスプローラ機能に脆弱性が存在するという情報を公開した。

[高橋睦美，ITmedia]

　イスラエルのセキュリティ企業、GreyMagic Softwareは4月19日付けで、Windows 2000が搭載するエクスプローラ（Windows Explorer）に脆弱性が存在するという情報を公開した。悪用されると、任意のスクリプトを実行される恐れがある。

　この脆弱性は、Windows 2000のエクスプローラが備えているプレビューペーン（Webの表示）機能に起因する。デフォルトのまま、Webの表示で「フォルダでWebコンテンツを使う」を選択している場合、エクスプローラ上でファイルを選択すると、更新日時やファイルサイズ、属性といったメタ情報がプレビューペーンに表示される。この処理を行うwebvw.dllライブラリで入力チェックが十分に行われていないことが脆弱性の原因だ。

　この結果、メタ情報の中にスクリプトを組み入れて細工を施したファイルをエクスプローラ上で選択すると、そのスクリプトがログインしているユーザーの権限で実行されてしまう。ファイルをダブルクリックして実行する必要はなく、ただエクスプローラ上で選択するだけでスクリプトが作動する。

　Secuniaによれば、Windows 2000 Service Pack 4でこの脆弱性が確認できたといい、影響は「中程度」としている。その他のWindows OSには影響はない。

　今のところMicrosoftからこの脆弱性に関する情報やパッチは公開されていない。マイクロソフトによると、Grey Magicよりこの脆弱性に関する情報の提供は受けており、パッチの開発／テストを進めている段階だという。Grey MagicではMS側の対応を待ちきれずに情報を公開したものと見られる。

　マイクロソフトではパッチの開発を進めているというが、提供時期については未定。それまでの問題の回避策としては、出所の怪しいファイルの扱いを避けることに加え、エクスプローラの設定を変更し、「ツール」の「全般」タブにある「Webの表示」で「従来のWindowsフォルダを使う」を選択することが挙げられるという。