PR

 マイクロソフトは8月21日,ほとんどのWindowsにデフォルトで含まれるコンポーネント群「Microsoft Data Access Components(MDAC)」にセキュリティ・ホールがあることを明らかにした。ネットワーク上のSQL Serverを探すために送信したブロードキャスト・リクエストの応答として,細工が施されたパケットを送信されると,MDACのあるコンポーネントがバッファ・オーバーフローを引き起こす。その結果,マシン上で任意のコード(プログラム)を実行されてしまう。対策はパッチを適用すること。「Windows Update」などから適用できる。深刻度は「重要」。マイクロソフトでは,できるだけ早く対策を施すよう勧めている

【8月21日追記】「MS03-033」のパッチはできるだけ早急に適用すべきである。というのも,このパッチには,8月21日に「緊急」に変更された「MS02-040」のパッチが含まれるからである。詳細については,記事末の追記部分を参照してほしい。タイトルも,当初「Windowsにデフォルトで含まれる『MDAC』にセキュリティ・ホール,深刻度は『重要』」としていたものを「Windowsにデフォルトで含まれる『MDAC』にセキュリティ・ホール,すぐにパッチの適用を」に改めた。とにかく,すべてのWindowsユーザーがWindows Updateを実施してほしい。【以上,8月21日追記】

 MDACとは,リモートあるいはローカルのデータベースにアクセスするためのコンポーネント群であり,WindowsやSQL Serverなどに含まれる。MDACの一部のコンポーネントに,バッファ・オーバーフローのセキュリティ・ホールが見つかった。セキュリティ・ホールが存在するMDACのバージョンは,2.5/2.6/2.7。MDAC 2.8は影響を受けない。MDACはほとんどのWindowsにデフォルトで含まれる。また,多くのアプリケーション・ソフトに含まれるとともに,MDACを単独でバージョンアップすることも可能である。このため,Windowsのバージョンから,現在インストールされているMDACのバージョンを判断できない。

 MDACがデフォルトでインストールされているのは,Windows Me/2000/XP/Server 2003。Windows NT 4.0にはデフォルトでは含まれないものの,「Windows NT 4.0 Option Pack」には含まれるので,Option Packを適用している場合にはセキュリティ・ホールの影響を受ける可能性がある。ただし,米Microsoftの情報によれば,Windows Server 2003にデフォルトでインストールされているのはMDAC 2.8であるため,Windows Server 2003は影響を受けないという。

 セキュリティ・ホールがあるMDACがインストールされている場合には,パッチを適用する必要がある。「[HOW TO] MDAC のバージョンを確認する方法」にバージョンの確認方法が記載されている。Windows Updateを利用すれば,必要に応じて自動的に適用されるので,ユーザーがバージョンを確認する必要はない。セキュリティ情報のページからもダウンロードできる。パッチは,MDAC 2.5/2.6/2.7 共通である。

 今回のセキュリティ・ホールを悪用されると,リモートから任意のコードを実行されてしまうので,攻撃が“成功”すれば,影響は大きい。マシンを乗っ取られる可能性がある。とはいえ,単に細工を施したパケットを,セキュリティ・ホールがあるマシンに送信しても,任意のコードは実行されない。攻撃者は,セキュリティ・ホールがあるマシンからの,ブロードキャスト・リクエストの応答として,細工を施したパケットを送信する必要がある。つまり,攻撃者は攻撃対象マシンと同じネットワーク(サブネット)上で,SQL Serverのふりをしてブロードキャスト・リクエストを待ち受ける必要がある。リモートから攻撃が可能ではあるが,インターネット経由で,あるいは異なるサブネット(ブロードキャストが届かないネットワーク)から攻撃することはできない。このため,深刻度は上から2番目の「重要」に設定されている。

【8月21日追記】 マイクロソフトは同日,2002年8月に公開したセキュリティ・ホール「MDAC 機能の未チェックのバッファにより,システムが侵害される (326573) (MS02-040)」の情報を大幅に変更した。

 このセキュリティ・ホールは,「MS03-033」同様,Windowsなどに含まれるMDACに関するものだが,当初は,Microsoft SQL Server 7.0/2000をインストールしているマシンだけが影響を受けるとされていた(関連記事)。このため,深刻度は「中」だった(現在の「警告」に相当すると考えられる)。

 しかし,SQL Server 7.0/2000をインストールしていなくても,MDAC 2.5/2.6/2.7 がインストールされていれば影響を受けることが明らかとなった。つまり,Windows Me/2000/XP はデフォルトで影響を受ける。Option Packなどを適用していれば,Windows NT も影響を受ける。影響範囲は,「MS03-033」と同じである。

 このセキュリティ・ホールを悪用されると,細工が施されたWebページやHTMLメールを閲覧するだけで,ユーザーのマシン上で任意のコードを実行させられてしまう。とても危険なセキュリティ・ホールである。このため,深刻度は最悪の「緊急」に変更された。

 すべてのWindows Me/2000/XPユーザーおよびMDAC がインストールされているNTのユーザーは,早急にパッチを適用する必要がある。

 マイクロソフトの情報によると,「MS02-040」のパッチは「MS03-033」のパッチに含まれるとしていて,(同ページでは)「MS02-040」の単独のパッチは用意していない。このセキュリティ・ホールを修正するには,「MS03-033」のパッチを適用する必要がある。

 つまり,「MS03-033」のセキュリティ・ホール自体は「重要」だが,「MS03-033」のパッチは,深刻度が「緊急」のセキュリティ・ホールを修正するものとして,すぐに適用する必要がある。とはいえ,Windows Updateでは自動的に必要なパッチが適用されるので,特に考える必要はない。Windows Updateを実施すればよい。

 なお,「MS02-040」のパッチ(実際には「MS03-033」のパッチに含まれる)を適用する際には注意すべき点がある。まず,(1)パッチを適用するときに「odbc32.dll」を使用しているプロセスがある場合は,セキュリティ・ホールが存在する,「dllcache」フォルダの「odbc32.dll」が置き換わらない。すなわち,セキュリティ・ホールが修正されない。また,(2)パッチ適用後に,「MDAC 2.7 Refresh」をインストールすると,修正された「odbc32.dll」が,セキュリティ・ホールがある「odbc32.dll」で上書きされてしまう。つまり,再びセキュリティ・ホールができてしまう。

 これらを防ぐには,(1)適用前に,「odbc32.dll」を使用しているプロセスが存在しないことを確認する,(2)MDAC 2.7 Refresh をインストールした場合には,再度パッチを適用する。詳しくは,「[MDAC] PRB: MS02-040 で提供される修正プログラムをインストールする際の注意点」を参照してほしい。(2)については,過去の「今週のSecurity Check [Windows編]」などでも解説しているので参考にしてほしい。
【以上,8月21日追記】

【9月3日追記】「MS03-033」のパッチを適用する際に,上記の注意点を考慮する必要はない。詳細は,「今週のSecurity Check[Windows編]」を参照してほしい。
【以上,9月3日追記】

◎参考資料
「MS03-033:Unchecked Buffer in MDAC Function Could Enable System Compromise (823718)」(米Microsoft)
「MS03-033: Microsoft Data Access Components のセキュリティ アップデート (823718)」に関する要約情報(マイクロソフト)
絵でみるセキュリティ情報「MS03-033 : Windows の重要な更新」(マイクロソフト)
「MDAC 機能の未チェックのバッファにより,システムが侵害される (823718) (MS03-033)」(マイクロソフト)

(勝村 幸博=IT Pro)