PR

 マイクロソフトは2001年5月2日,Windows 2000に付属するWWWサーバー・ソフトウエアであるInternet Information Services 5.0(IIS 5.0)に,重大なセキュリティ・ホールがあることを公表した。外部から任意のプログラムを実行できるという,極めて危険なセキュリティ・ホールである。Service Pack1を適用済みのWidnows 2000のIIS 5.0にも同じセキュリティ・ホールが存在する。IIS 5.0のユーザーは,早急にマイクロソフトが提供する修正ファイルを適用されたい。

 同社によれば,このセキュリティ・ホールはWindows 2000 Server,Windows 2000 Advanced Server,Windows 2000 Datacenter Server上でIIS 5.0を稼働させている環境に存在する。Windows 2000は,WWWを介して印刷ジョブの送信と制御を行うためのプロトコルInternet Printing Protocol(IPP)をサポートしている。IPPはISAPIエクステンションを使って実装されているが,そのISAPIエクステンションの入力パラメータを処理する部分に,上記のセキュリティ・ホールが存在する。バッファ・オーバーランまたはバッファ・オーバーフローと呼ばれるもので,入力されたデータのチェックに不備があるために,データがプログラムで確保した領域より大きい時に誤動作を起こし,入力データ中に含まれるプログラムを実行してしまう。

 すでにマイクロソフトが修正ファイルを提供しているため,これを適用することで問題を回避できる。また,IPPを利用できないように設定することでも,問題回避が可能である(詳しくは,参考資料2)。なおマイクロソフトは,Windows NTに付属するIISには,このセキュリティ・ホールは存在しないとしている。

高橋 信頼=日経オープンシステム)

■参考資料1:マイクロソフト セキュリティ情報「ISAPI エクステンションの未チェックのバッファにより IIS 5.0 Server のセキュリティが侵害される(MS01-023)」
■参考資料2:マイクロソフト セキュリティ情報「Internet Information Services 5 セキュリティのチェックリスト」中の項目『使用のスクリプト マッピングを削除する』

◎IT Pro注:関連記事
予想通りの「NT 4.0 Service Pack 7」提供中止
更新が続くマイクロソフトの「IIS 防御策」ドキュメント
「HTR」に起因する,IISのセキュリティ・ホールが再び発覚
【解説】IISの日本語版対応パッチがようやく公開
IISの深刻なセキュリティ・ホール情報を整理する