Windows HotFix Briefings
(2005年4月1日版)

―― 修正プログラム適用に関する問題点、不具合情報の隔週レポート ――

DA Lab Windowsセキュリティ
2005/04/01

このHotFix Briefingsでは、HotFixの公開後に明らかになった問題点や不具合、各種情報ソースで明らかにされた脆弱性などの情報を隔週でまとめてお届けします。
 
[脆弱性情報]
Windows XP SP1にリモートから強制的にシャットダウンされる脆弱性

情報の内容 脆弱性情報
情報ソース セキュリティ関連情報サイト、マイクロソフト
報告日 2005/3/24
対象環境 Windows XP SP1

 Windows XP SP1に付属するTSShutdn.exeコマンド(リモートからコンピュータをシャットダウンするコマンド)に脆弱性があることが明らかになった。これを悪用すると、管理者でないユーザーでも、リモートからWindows XP SP1コンピュータを強制的にシャットダウンできてしまう。これは、TSShutdn.exeコマンドが、リモート・システムからの強制シャットダウン処理の際に、ユーザー権限を正しくチェックしないことに起因する。詳細は以下のサポート技術情報を参照されたい。

 この脆弱性の影響を受けるのはWindows XP SP1で、Windows XP SP2を適用したコンピュータは影響を受けない(脆弱性が解消されている)。従ってこの脆弱性を解消するには、Windows XP SP2を適用すればよい。どうしてもSP2を適用できない理由がある場合には、マイクロソフトのサポートに問い合わせれば、この問題のみに対応した修正プログラムを入手できる。

 攻撃は、リモートからコマンドが実行可能なコンピュータからのみ可能であり(一般的には同一ドメイン内のコンピュータなどに限定されている)、通常は外部のインターネットからは攻撃できない。しかし強制シャットダウンが行われるとその影響は大きいので、Windows XP SP1を利用している場合には早期に対処しておいた方がよいだろう。

 
[最新SP情報]
Windows Server 2003 SP1日本語版のRTMは4月上旬か?

情報の内容 最新Service Pack情報
情報ソース マイクロソフト
報告日 2005/3/29
対象環境 Windows Server 2003

 マイクロソフトは、2005年3月29日、Windows Server 2003向けとして開発を進めているSP1について記者向けの説明会を開催した。この中でマイクロソフトは、Windows Server 2003 SP1の開発が最終段階に入っており、まもなくRTM版(最終版)が完成する予定だが、リリースなどの詳細な日付についてはまだ決定していないと述べた(現在はRTM版の1つ前であるRC2版が公開されている)。現在は公開可能なレベルのバージョンでテストを実施しており、その経過を観察して、問題がなければ公開するという手はずのようだ。明確な日付の公表は避けながらも、最後の質疑応答で「4月上旬と思ってもらってよい」と述べた。この質疑応答の内容は、次のHotFix Report BBSで公開されている。

Windows Server 2003 SP1の新機能(Insider's Eye)

 サーバ向けのService Packであり、公開されたからといって右から左に適用するようなものではないが、今回のSP1では、過去の修正プログラムがまとめて適用されるだけでなく、主にセキュリティ性能の向上につながる各種新機能が追加されている(これらの詳細については関連記事を参照)。SP1の公開後は、適用に向けた検証と展開計画の準備を開始する必要がある。

 なお、Windows Server 2003 SP1英語版とドイツ語版については、すでに3月30日付けで公開が開始されている(開発者向けサイトであるMSDNサブスクライバ・ダウンロード・ページでは、3月29日付けで公開されている)。

 
[バージョンアップ情報]
複数の脆弱性を修正した最新版のFirefox 1.0.2が公開

情報の内容 最新版の公開
情報ソース Mozilla Japan
報告日 2005/3/24
対象環境 Firefox

 オープンソース・ソフトウェア・プロジェクトのMozilla Foundationが開発したWebブラウザのFirefoxにおいて、いくつかの重大な脆弱性が公開され、これらを修正した最新版(1.0.2)が公開された。Firefoxユーザーは、以下のMozilla Japanのサイトから最新版を入手して更新する必要がある。

 Firefox 1.0.2で修正された脆弱性は以下の3つである。

■Netscape Extension 2を含むGIF画像の処理過程でバッファ・オーバーフローが生じる(重要度=最高、危険度=高)
 Mozilla製品(Firefox、Mozilla Suite、Thunderbird)のGIF画像処理ライブラリにバッファ・オーバーフローの脆弱性が存在し、攻撃者のリモート・コードが実行される危険がある。この脆弱性は、GIF画像のNetscape独自の拡張ブロック(Netscape Extension 2)の解析部分に存在するバグで、脆弱性を悪用するように設計された攻撃用GIF画像をMozilla製品で表示しようとすると、任意のコードが実行される危険がある。危険度=高の影響の大きな脆弱性である。

■Firefoxのサイドバー・パネルを通じて任意のコードが実行される(重要度=最高、危険度=中)
 Firefoxのサイドバー・パネルの処理に脆弱性が存在し、攻撃用ページがサイドバー・パネルにブックマークされると、そのページからJavaScriptを含む特権付きコンテンツを開くことで、攻撃用コードが実行される危険がある。

■ドラッグ&ドロップによって特権付きXULファイルが読み込まれる(重要度=低、危険度=中)
 偽のスクロール・バーなど、攻撃用に細工したページでドラッグ&ドロップ操作を行うと、特権付きXUL(XML User-interface Language)ファイルを開く際の制限が回避され、XULファイルに含まれる起動スクリプトが高い権限で実行される危険がある。

 
そのほかの不具合情報、追加情報
 
  関連リンク
  HotFix Report BBS
     
 Windows HotFix Briefings

@IT Special

- PR -

TechTargetジャパン

Windows Server Insider フォーラム 新着記事
@ITメールマガジン 新着情報やスタッフのコラムがメールで届きます(無料)
- PR -

イベントカレンダー

PickUpイベント

- PR -

アクセスランキング

もっと見る

ホワイトペーパーTechTargetジャパン

注目のテーマ

Windows Server Insider 記事ランキング

本日 月間
ソリューションFLASH