PR

 第1回目のコラムで,Windows 2000の最初のサービスパックである「Windows 2000 Service Pack 1(SP1)」の日本語版が,9月8日にようやく公開されたことを紹介したが,果たしてこの最新のSP1さえインストールしておけば,Windows 2000の安全なシステム運用は可能なのであろうか(ここでの「安全なシステム運用」とは「既知のセキュリティ・ホールがなく なった最低限安全な状態でのシステム運用」を指す)。

 答えはノーである。SP1をインストール済みのシステムに適用すべきパッチを掲載した「Windows 2000 ServicePack 1用,対応モジュール一覧」というWebページが早速公開されているように,システムのアップデートを継続して行う必要がある。

 ちなみに内容をチェックすると,9月29日時点でMicrosoft Security Bulletin(セキュリティ速報)の管理番号MS00-064の「ユニキャスト サービスの競合状態」のぜい弱性に対するパッチが1件のみ登録されている。

 それでは,SP1をインストールした後このパッチさえ適用しておけば,Windows 2000の安全なシステム運用は可能なのであろうか。

 答えは,これまたノーである。実際には,SP1をインストールしても解消されないセキュリティ・ホールが,MS00-064以外に14件も既に報告されている。こうした情報を速やかに入手したい管理者は,マイクロソフトが公開する日本語の情報「マイクロソフト セキュリティ情報」をこまめに継続してチェックすることが必要だ。

 なお,「マイクロソフト セキュリティ情報」は対象OS別になっていないので,非常に分かりづらい。また,パッチが提供されているにもかかわらず,まだ「マイクロソフト セキュリティ情報」で正式アナウンスされていないものが,私が確認できただけでも6件存在する。正式なアナウンスがされていないため,あくまでも自己判断/責任で検討して適用する必要があるが,以下に9月29日時点の独自調査結果をピックアップしておくので,ぜひ活用して頂きたい。

Windows 2000 Service Pack 1用,対応モジュール一覧

マイクロソフト セキュリティ情報


独自調査版「Windows 2000 Service Pack 1」リリース以降の
セキュリティ・ホール,及び対応モジュール/回避方法一覧

(MS00-067) 「Windows 2000 TelnetクライアントのNTLM認証」のぜい弱性に対する対策
 *NTLM認証を停止して,ユーザー・レベルの認証のみを使用することにより,回避可能

(MS00-066) 「無効なRPCパケット」のぜい弱性に対する対策
 *ポートの135番から139番および445番(念のためにTCP/UDP双方を推奨)を遮断すれば回避可能

(MS00-065) 「静止画像サービスを利用した権限の昇格」のぜい弱性に対する対策

(MS00-064) 「ユニキャスト・サービスの競合状態」のぜい弱性に対する対策

  [正式アナウンスされたパッチ]

(MS00-060) 「IISクロスサイト・スクリプティング」に対するぜい弱性を解決する修正プログラム

(MS00-059) 「Java VMアプレット」のぜい弱性に対する対策

(MS00-058) 「特殊化したヘッダ」のぜい弱性に対する対策

 [正式にはアナウンスされていないパッチ]

(MS00-057) 「正規化エラーによる,ファイルへの誤ったアクセス権の適用」のぜい弱性に対する対策

(MS00-053) 「サービス・コントロール・マネージャの名前付きパイプを利用したなりすまし」のぜい弱性に対する対策

(MS00-052) 「Shellの相対パス」のぜい弱性に対する対策

 [正式にはアナウンスされていないパッチ]

(MS00-050) 「Telnet Server Flooding」 のぜい弱性に対する対策

 [正式にはアナウンスされていないパッチ]

(MS00-047) 「NetBIOS Name Server Protocol Spoofing」のぜい弱性に対する対策
 *UDPポートの137番を遮断すれば回避可能

(MS00-044) 「ディレクトリ・ブラウザ引数の不在」のぜい弱性に対する対策

 [正式にはアナウンスされていないパッチ]

(MS00-038) 「Windows Media Encoderの異常な形式の要求」のぜい弱性に対する対策

 [正式にはアナウンスされていないパッチ]

(MS00-036) 「ブラウザからの過度なアナウンス」のぜい弱性に対する対策

 [正式にはアナウンスされていないパッチ]

 *[正式にはアナウンスされていないパッチ]と記載したものは,マイクロソフトから正式なアナウンスがされていないため,自己判断/責任にて検討/適用してください。


山下 眞一郎(Shinichiro Yamashita)
株式会社 富士通南九州システムエンジニアリング
第二ソリューション事業部システムサービス部 プロジェクト課長
yama@bears.ad.jp


 「今週のSecurity Check [Windows編]」は,IT Proセキュリティ・サイトが提供する週刊コラムです。Windows関連のセキュリティに精通し,「Winセキュリティ虎の穴」を運営する山下眞一郎氏に,Windowsセキュリティのニュースや動向を分かりやすく解説していただきます。(IT Pro編集部)