Microsoft製品に新たな脆弱性――いずれも未修正

IIS FTP 7.5の脆弱性はサービス妨害（DoS）攻撃に利用される恐れがある。WMI Administrative Toolsの脆弱性では攻撃者が任意のコードを実行できてしまう可能性がある。

[鈴木聖子，ITmedia]

　Microsoft製品の新たな脆弱性が相次いで発覚している。同社は12月22日のブログで、IIS FTP 7.5の脆弱性を突くコンセプト実証（PoC）コードが公開されたと伝えた。これとは別に米セキュリティ機関のUS-CERTは、Microsoft WMI Administrative Toolsの脆弱性に関する情報を公開した。いずれも脆弱性修正のためのパッチはまだリリースされていない。

　MicrosoftのSecurity Research & Defenseブログによると、IIS FTP 7.5の脆弱性は、FTPサーバがTelnet IAC（Interpret As Command）をエンコードしようとする際に発生する。IIS FTP 7.5はWindows 7とWindows Server 2008 R2に同梱されている。

　この問題を悪用された場合、サービス妨害（DoS）を誘発される恐れがあるという。US-CERTは状況によって任意のコードを実行される可能性も指摘しているが、Microsoftではこの脆弱性がリモートからのコード実行に利用される公算は小さいと見ている。

　一方、WMI Administrative Toolsの脆弱性はActiveXコントロールの「WBEMSingleView.ocx」に存在する。これがインストールされたInternet Explorer（IE）で悪質なWebページを見ると、攻撃者に任意のコードを実行される恐れがある。

　US-CERTでは当面の対策として、キルビットを設定して問題のActiveXコントロールを無効にすることなどを挙げている。

企業向け情報を集約した「ITmedia エンタープライズ」も併せてチェック

過去のセキュリティニュース一覧はこちら