Windows HotFix Briefings ALERT

セキュリティ情報 ― 2007年11月版
1.緊急レベル1件を含む2件のセキュリティ修正が公開

DA Lab Windowsセキュリティ
2007/11/19

本HotFix Briefingsでは、Windows関連の修正プログラム情報、セキュリティ・ホール(脆弱性)情報について、月1回のダイジェストでお知らせします。

 マイクロソフトは、月例の修正プログラム公開日である2007年11月14日に、MS07-061/062の合計2件の脆弱性情報を公表し、修正プログラムの提供を開始した。最大深刻度は、最も緊急性の高い「緊急」レベルが1件、「重要」が1件である。詳細な技術情報だけでなく、実証コードや攻撃事例が報告されたものも含まれており、ウイルスやワーム、フィッシング・サイトへのさらなる悪用が懸念される。事前の検証を行い、早急に適用作業を開始する必要がある。

[緊急] MS07-061943460
Windows URI 処理の脆弱性により、リモートでコードが実行される
最大深刻度 緊急
報告日 2007/11/14
MS Security# MS07-061
MSKB# 943460
対象環境 Windows XP/Windows Server 2003
再起動 必要
HotFix Report BBSスレッド MS07-061

セキュリティ・ホールの概要と影響度

 WindowsシェルにURIの検証処理が不十分なことに起因する脆弱性が存在し、細工されたURIを受け取ると任意のコードが実行される危険性がある。Webページ上にある細工されたリンクをクリックしたり、細工済みの電子メールを開いたりするだけで、悪意のあるプログラムがインストールされてしまう恐れがある。

 この脆弱性はすでに実証コードが公開されており、攻撃事例も報告されているので、なるべく早く修正プログラムを適用した方がよい。

 マイクロソフトの説明によれば、この脆弱性の影響を受けるのは、Internet Explorer(IE) 7がインストールされたWindows XP SP2とWindows Server 2003 SP1/R2/SP2とのこと。Windows 2000とWindows Vistaには影響しない。

対象プラットフォーム

 今回修正プログラムが提供される環境は以下のとおりである。

影響を受けるソフトウェア 対象プラットフォーム
Windows XP Windows XP SP2
Windows Server 2003 Windows Server 2003 SP1/R2/SP2

適用時の注意点

■IE 7をインストールしていない環境にも適用の必要あり
 前述したとおり、MS07-061の影響を受けるのはIE 7インストール済み環境のみとのことだ。しかしマイクロソフトによれば、この脆弱性はOS本体に含まれるshell32.dllに存在するとしており、IE 7未インストール環境も修正プログラムの適用対象に含まれている。そのため、今後IE7未インストール環境にもこの脆弱性の影響が及ぶ可能性は否定できない。IE 7をインストールしていない場合でも、Windows XPやWindows Server 2003を使っているなら、早期に修正プログラムを適用した方がよい。


[重要] MS07-062941672
DNS の脆弱性により、なりすましが行われる
最大深刻度 重要
報告日 2007/11/14
MS Security# MS07-062
MSKB# 941672
対象環境 Windows 2000 Server/Windows Server 2003
再起動 必要
HotFix Report BBSスレッド MS07-062

セキュリティ・ホールの概要と影響度

 Windows Server付属のドメイン・ネーム・システム(DNS)サーバに、トランザクションID(複数の通信を識別するための番号)が予測できる脆弱性が存在する(DNSキャッシュ・ポイズニングと呼ばれる脆弱性の一種)。これによりDNSサーバの応答が細工されてホスト名とIPアドレスの対応が偽装され、本来とは異なる接続先に誘導されてしまう危険性がある。フィッシング・サイトへの誘導などに使われることが懸念される。

 DNSサーバを装備していないWindows 2000 Professional/Windows XP/Windows Vistaは、この脆弱性の影響を受けない。

対象プラットフォーム

 今回修正プログラムが提供される環境は以下のとおりである。

影響を受けるソフトウェア 対象プラットフォーム
Windows 2000 Server Windows 2000 Server/Advanced Server SP4
Windows Server 2003 Windows Server 2003 SP1/R2/SP2

適用時の注意点

■適用にはDNSサーバがインストールされていることが条件
 MS07-062の修正プログラムを適用するには、DNSサーバ(dns.exe)がインストールされている必要がある。DNSサーバが未インストールだと、エラーが発生して適用に失敗してしまう。つまり、DNSサーバをインストールする予定のコンピュータに、あらかじめこの修正プログラムを適用しておく、といったことはできない。

 DNSサーバをインストールしたら、すぐにこの修正プログラムを適用するように注意しよう。

■Windows Server 2003でシステムの再起動なしに適用する方法
 Windows Server 2003の場合、修正プログラムの適用前にDNSサーバ・サービスを停止すれば、システムの再起動なしに適用可能とのことだ。ただし、適用後にDNSサーバ・サービスを手動で起動しなければならない点は要注意だ。



 INDEX
  [Windows HotFix Briefings ALERT]
  1.緊急レベル1件を含む2件のセキュリティ修正が公開
    2.そのほかのセキュリティ、修正プログラム関連情報

 Windows HotFix Briefings

@IT Special

- PR -

TechTargetジャパン

Windows Server Insider フォーラム 新着記事
@ITメールマガジン 新着情報やスタッフのコラムがメールで届きます(無料)
- PR -

イベントカレンダー

PickUpイベント

- PR -

アクセスランキング

もっと見る

ホワイトペーパーTechTargetジャパン

注目のテーマ

Windows Server Insider 記事ランキング

本日 月間
ソリューションFLASH