MS、Windows 2000パッチのバグを認める

[Ryan Naraine，eWEEK]

　米MicrosoftがWindows 2000のセキュリティホールを修正するために発行したパッチが、一部ユーザーに問題を引き起こしている。

　同社は10月14日遅く、MS05-051アップデートに幾つかの「独立した導入の問題」があることを認めたが、この問題を理由にパッチの適用をやめるべきではないと主張した。

　このパッチの問題は、MSRC（Microsoftセキュリティ対策センター）スタッフにとって最悪のタイミングで浮上した。同部門は先週このアップデートをリリースして以来、「今パッチをあてなさい。さもないと……」と説いてきた。

　脆弱性実証コードが出回り、専門家がネットワークワームの攻撃が起きるかもしれないと予測していることから、このパッチをテストしている企業のIT管理者は今、パッチ適用の取り組み全体を遅らせかねない新たな頭痛の種に対処している。

　Microsoftの広報担当者はZiff Davis Internet Newsに対し、同社はバグのあるパッチの影響を受ける「限られた数の顧客」と協力していると語ったが、それでもすべての顧客はMS05-051を優先度の高いアップデートとして扱うべきだと強調した。

　同社は14日に、この問題を抱えたWindows XP、Windows 2000 Server、Windows Server 2003ユーザー向けの回避策を記したKnowledge Base 909444を公開した。

　顧客からは、問題のパッチを適用した後に、Windows InstallerサービスとWindows Firewall Serviceが起動しないという報告が寄せられている。

　Microsoftはまた、このパッチによってNetwork Connectionsフォルダが空になったり、Windows Updateサイトが誤ってパッチ適用済みコンピュータにInternet Explorer（IE）のUserdata保存設定を変えるよう推奨をしたりする恐れがあることも認めた。

　このほか、以下のような問題が確認されている。

• MicrosoftのISS（Internet Infomation Services）を走らせるASP（Active Server Pages）ページが「HTTP 500 - Internal Server Error」というエラーメッセージを返す。
• Microsoft COM+ EventSystemサービスが起動しない。
• COM+アプリケーションが起動しない。
• Microsoft Component Services MMC（Microsoft Management Console）ツリーのコンピュータノードが展開されない。
• 認証されたユーザーがログオンできない。ユーザーが10月のセキュリティアップデートを適用した後に空白の画面が表示される。

　またMSRCはブログの中でこの問題を認め、これらの現象が起きるのは、COM+カタログディレクトリおよびファイルのデフォルトパーミッションがデフォルト設定から変更されている場合のみだと述べている。

　「この問題を報告した顧客の数は極めて限られているが、われわれがこれに関する手引きを用意していることを確実に皆に知ってもらいたかった。われわれは依然、MS05-051のエクスプロイトコードに目を光らせているが、まだ何も目にしていない。週末中も監視を続け、顧客に伝えるべき変更があれば知らせる」とMSRCのオペレーションマネジャー、マイク・リーベイ氏は述べている。

　SANS ISC（Internet Storm Center）はほかにも幾つかの問題を報告している。その中には、Windows Updateサイトにアクセスできない、スタートメニューの検索ツールが機能しない、アイコンなしの空白の画面が表示される、アンチウイルスソフトやスパイウェア対策ソフトが動作しない、Microsoft Officeプログラム利用時のトラブルなどがある。

　ISCのCTO（最高技術責任者）ヨハネス・ウルリッヒ氏はWebサイトで、危険なエクスプロイトコードが悪人の手に渡るのは時間も問題でしかないと述べている。同氏はWindowsユーザーに、週末を迎える前に未パッチのネットワークのセキュリティ対策を取るよう促していた。

　「明らかなのは、少なくともあなたの（Windows 2000）マシンにMS05-051パッチを適用することだ。われわれは3372ポートのスキャンが全力で開始されたことをつかんでいる。おそらくは標的リストを手に入れるためだろう。パッチを当てられないのなら、少なくとも3372ポートを確実に閉じることだ」（同氏）

　Immunityの脆弱性研究者デイブ・エイテル氏は、MSDTC（Microsoft Distributed Transaction Coordinator）の未チェックのバッファのエクスプロイトのフラッシュムービーを公開した。しかし、実際に機能する脆弱性実証コードを作成したにもかかわらず、同氏は、Zotobのようなワーム攻撃がすぐに起きることはないと考えていると話す。

　「皆がおびえているのは分かるが、DTCワームが登場することはないと思う」とエイテル氏はDailyDaveセキュリティメーリングリストで述べている。脆弱なマシンにはあまりに多くの変数があるため、うまく機能するワームをばらまくことは難しいという。「このバグを利用するワームは出てこないだろう」と同氏。

　もしもワームが出現するとしたら、「Client Service for NetWare」のコード実行の脆弱性が標的になるだろうと同氏は予測する。Immunityはこのバグの実証コードも作成済みだ。このバグはMS05-046で対処されている。

　「このバグは非常に単純なので、バッファオーバーフロー101クラスで利用できる」（エイテル氏）

原文へのリンク