PR

 マイクロソフトは12月14日,Internet Explorer(IE)およびWindowsに関するセキュリティ情報をそれぞれ1件ずつ公表した。細工が施されたWebページ(HTMLファイル)を開くだけで,悪質なプログラム(例えばウイルス)を実行させられるような危険なセキュリティ・ホールを含む。IEのセキュリティ・ホールについては,悪用が可能であることを示す実証コードが11月に公開されている(関連記事)。最大深刻度は最悪の「緊急」。対策は更新プログラム(修正パッチ)の適用。「Microsoft Update」などから適用できる。

 今回公開されたセキュリティ情報は当初の予定どおり2件(関連記事)。

(1)Internet Explorer 用の累積的なセキュリティ更新プログラム (905915) (MS05-054)
(2)Windows カーネルの脆弱性により,特権が昇格される (908523) (MS05-055)

 (1)の影響を受けるのはWindows 98/98SE/Me/2000/XP/Server 2003のIE。XP SP2やServer 2003 SP1のIEも影響を受ける。(1)に含まれるセキュリティ・ホールは以下の4種類。

(a)ファイルのダウンロード ダイアログ ボックスの操作に関する脆弱性 - CAN-2005-2829
(b)HTTPS プロキシの脆弱性 - CAN-2005-2830
(c)COM オブジェクト インスタンス化のメモリ破損の脆弱性 - CAN-2005-2831
(d)不適切な Document Object Model オブジェクトのメモリ破損の脆弱性 - CAN-2005-1790

 これらのうち,(c)と(d)の最大深刻度は「緊急」,(a)と(b)の最大深刻度は上から3番目(下から2番目)の「警告」。(d)は,11月に第三者によって実証コードが公表されたもの(関連記事)。実証目的のコードだけではなく,悪用目的のコード(Webサイト)も複数確認されている(関連記事1関連記事2)。マイクロソフトではセキュリティアドバイザリを公表して回避策(アクティブスクリプトの無効など)を紹介した(関連記事)。

 (a)(c)(d)については,細工が施されたWebページにアクセスすると攻撃者の意図するコード(プログラム)を実行させられる恐れがある。(b)については,特定の環境において情報漏えいが発生する可能性がある。具体的には,HTTPS(SSL)接続を使っていても,IEからプロキシ・サーバーへ送信されるWebアドレス(URL)が読み取られる恐れがある。

 (2)の「Windows カーネルの脆弱性により,特権が昇格される (908523) (MS05-055)」は,Windows 2000だけが影響を受けるセキュリティ情報。深刻度は上から2番目の「重要」。同情報には「Windows カーネルの脆弱性 - CAN-2005-2827」というセキュリティ・ホールが含まれる。悪用されると,ローカルでログオンできるユーザーに権限の昇格を許す可能性がある。つまり,アクセス権限を持つユーザーに,本来は許可していない操作をされる恐れがある。リモートから,あるいは匿名ユーザー(アクセス権限を持たないユーザー)に,このセキュリティ・ホールを悪用されることはない。

 (1)と(2)のいずれについても,対策は修正パッチを提供すること。「Microsoft Update」あるいは「Windows Update」から適用できる。これらの自動更新機能を有効にしている環境では,自動的に適用される。また,それぞれのセキュリティ情報のページからもパッチをダウンロードできる(Windows 98/98SE/MeのパッチについてはMicrosoft Update/Windows Updateからのみ適用可能)。パッチ適用後には,マシンの再起動を必要とする。

 なお,(1)の修正パッチを適用すると,「XCP」コピー防止ソフト用の古いアンインストール・ツールで発生するセキュリティ問題を回避できる。Kill Bitを設定して,古いアンインストール・ツールをIEから利用できないようにする。

 XCPとは米Sony BMG Music Entertainment(以下,ソニーBMG)の音楽CDなどに含まれるソフトウエア。XCPにはルートキットの機能があるとして問題になり,XCPをアンインストールするツール(ActiveXコントロール)がソニーBMGなどから公開された。しかし,このツールにも問題があることが判明(関連記事)。ツールを実行したユーザーが悪意のあるサイトへアクセスすると,任意のプログラムを実行させられる恐れがある。実際,そのようなサイトが確認された(関連記事)。このため,古いアンインストール・ツールの公開が中止された。現在公開されているツールには問題はない。現在公開されているツールを利用することでも,古いアンインストール・ツールの問題を解消できる(関連記事)。

 マイクロソフトは同日,ウイルスなどを検出および駆除する無償ツール「悪意のあるソフトウエアの削除ツール」の新版も公開した関連記事)。新版では,ソニーBMGの音楽CDに含まれるXCPなどに対応した(関連記事)。同ツールを利用すれば,ルートキットの機能を持つXCPのコンポーネントを削除できる。

 ツールの対象OSは,Windows 2000/XP/Server 2003。ダウンロードセンターや「Microsoft Update」から入手できる。Windows XPとServer 2003 SP1については「Windows Update」からも適用可能。

◎参考資料
2005年12月のセキュリティ情報
Internet Explorer 用の累積的なセキュリティ更新プログラム (905915) (MS05-054)
Windows カーネルの脆弱性により,特権が昇格される (908523) (MS05-055)