ニュース
2004/02/11 08:09:00 更新


MS、「緊急」含む2月の月例パッチを公開、Virtual PC for Macにも脆弱性

マイクロソフトは2月11日、2月分の月例アップデートとして、Windowsに関して2種類、Macintoshに関して1種類の脆弱性情報を公開した。

　マイクロソフトは2月11日、2月分の月例アップデートとして、Windowsに関して2種類、Macintoshに関して1種類の脆弱性情報を公開し、パッチの配布を開始している。

　このうち最も緊急性が高いのが、「MS04-007」で示されているASN .1の脆弱性だ。これを攻撃者に悪用されれば、リモートから任意のコードの実行を許しかねない。

　この問題は、Windows NT 4.0、Windows 2000、Windows XPおよびWindows Server 2003と広範なプラットフォームに存在する。Microsoft ASN.1 Libraryに未チェックのバッファが存在することが原因で、この部分を突かれるとバッファオーバーフローが発生し、攻撃者がシステム特権で任意のコードを実行してしまう可能性がある。しかも悪いことに、この問題の回避策は「ない」。できる限り早いタイミングで、Windows Updateを実行するなどしてパッチを適用するのが望ましいだろう。

　Windowsプラットフォームのもう1つの問題は、「MS04-006」だ。WINSに存在する脆弱性が原因となり、WINSサービスが異常終了してしまう恐れがある。

　この問題が直接的に影響するのは、皮肉なことに最もセキュリティを強化したWindows Server 2003だ。このOSは、攻撃者がバッファオーバーフローを悪用してコードを実行してしまうのを防ぐために、サービスを強制的に終了させるセキュリティ機能を実装している。この機能を攻撃者が悪用し、特殊な細工を施したパケットをWINSサーバに送り込むと、サービスが異常終了してしまう恐れがあるという。

　それ以外のプラットフォーム、具体的にはWindows 2000とWindows NT 4.0のWINSにも、問題の影響を受けるコードが含まれているという。しかしこれらのプラットフォームでは、細工を施したパケットは拒否されるため、DoS攻撃は成立しないということだ。ただいずれにしても、できる限り早めにパッチを適用しておくに越したことはない。またマイクロソフトでは、WINSが利用する「TCP/42」「UDP/137」の各ポートをブロックするか、利用しないのであればWINS自体を削除するといった回避策を紹介している。

　今月公開されたもう1つの問題「MS04-005」は、Macintoshユーザーに影響するものだ。「Microsoft Virtual PC for Mac」に存在した脆弱性を悪用されると、悪意あるファイルを挿入され、システム特権でそのコードを実行される恐れがあるという。パッチはバージョン6.0、6.01、6.02および6.1に適用できる。

　なおマイクロソフトは、一連の月例パッチと合わせて、2月3日に公開されたInternet Explorer用の累積パッチ（MS04-004）の適用も徹底するよう呼びかけている。

関連記事
▼MS、IEの脆弱性に対応の臨時パッチ
▼MS、1月の月例パッチでWindows 2000／XPなどの脆弱性に対応

関連リンク
▼Virtual PC for Mac の脆弱性により、権限が昇格する (835150) (MS04-005)
▼Windows インターネット ネーム サービス (WINS) の脆弱性により、コードが実行される (830352) (MS04-006)
▼ASN .1 の脆弱性により、コードが実行される (828028) (MS04-007)

[ITmedia]

Copyright © ITmedia, Inc. All Rights Reserved.