Windows HotFix Briefings ALERT

セキュリティ情報 ― 2007年11月版
1．緊急レベル1件を含む2件のセキュリティ修正が公開

セキュリティ・ホールの概要と影響度

　WindowsシェルにURIの検証処理が不十分なことに起因する脆弱性が存在し、細工されたURIを受け取ると任意のコードが実行される危険性がある。Webページ上にある細工されたリンクをクリックしたり、細工済みの電子メールを開いたりするだけで、悪意のあるプログラムがインストールされてしまう恐れがある。

　この脆弱性はすでに実証コードが公開されており、攻撃事例も報告されているので、なるべく早く修正プログラムを適用した方がよい。

　マイクロソフトの説明によれば、この脆弱性の影響を受けるのは、Internet Explorer（IE） 7がインストールされたWindows XP SP2とWindows Server 2003 SP1／R2／SP2とのこと。Windows 2000とWindows Vistaには影響しない。

対象プラットフォーム

　今回修正プログラムが提供される環境は以下のとおりである。

適用時の注意点

■IE 7をインストールしていない環境にも適用の必要あり
　前述したとおり、MS07-061の影響を受けるのはIE 7インストール済み環境のみとのことだ。しかしマイクロソフトによれば、この脆弱性はOS本体に含まれるshell32.dllに存在するとしており、IE 7未インストール環境も修正プログラムの適用対象に含まれている。そのため、今後IE7未インストール環境にもこの脆弱性の影響が及ぶ可能性は否定できない。IE 7をインストールしていない場合でも、Windows XPやWindows Server 2003を使っているなら、早期に修正プログラムを適用した方がよい。

セキュリティ・ホールの概要と影響度

　Windows Server付属のドメイン・ネーム・システム（DNS）サーバに、トランザクションID（複数の通信を識別するための番号）が予測できる脆弱性が存在する（DNSキャッシュ・ポイズニングと呼ばれる脆弱性の一種）。これによりDNSサーバの応答が細工されてホスト名とIPアドレスの対応が偽装され、本来とは異なる接続先に誘導されてしまう危険性がある。フィッシング・サイトへの誘導などに使われることが懸念される。

　DNSサーバを装備していないWindows 2000 Professional／Windows XP／Windows Vistaは、この脆弱性の影響を受けない。

対象プラットフォーム

　今回修正プログラムが提供される環境は以下のとおりである。

適用時の注意点

■適用にはDNSサーバがインストールされていることが条件
　MS07-062の修正プログラムを適用するには、DNSサーバ（dns.exe）がインストールされている必要がある。DNSサーバが未インストールだと、エラーが発生して適用に失敗してしまう。つまり、DNSサーバをインストールする予定のコンピュータに、あらかじめこの修正プログラムを適用しておく、といったことはできない。

　DNSサーバをインストールしたら、すぐにこの修正プログラムを適用するように注意しよう。

■Windows Server 2003でシステムの再起動なしに適用する方法
　Windows Server 2003の場合、修正プログラムの適用前にDNSサーバ・サービスを停止すれば、システムの再起動なしに適用可能とのことだ。ただし、適用後にDNSサーバ・サービスを手動で起動しなければならない点は要注意だ。