セキュリティ・ホールの概要と影響度

　ファイアウォール・ソフトウェアであるISA Server 2000のH.323フィルタにバッファ・オーバーランの脆弱性が存在し、攻撃によりコンピュータの制御が完全に奪われる危険性のあることが明らかになった。H323は、VoIP（Voice over IP。インターネットなどのIPネットワークで音声電話を実現するための技術）やインターネット・テレビ会議システムなどのマルチメディア・データをリアルタイムに扱うプロトコルとして多くのアプリケーションがサポートしている。今回のH323フィルタは、H.323によるトラフィックを制御するためのもので、ISA Server 2000をファイアウォールとしてインストールした場合はデフォルトで有効化される。

　ISA Server 2000は、外部からの不正な攻撃などから社内を守るために利用するファイアウォール・ソフトウェアで、インターネットに直接接続されることが多い。脆弱性を攻撃され、コンピュータの制御が奪われてしまうと、そこから社内のネットワーク全体に攻撃を加えることも可能になってしまう。ISA Server 2000の利用者は、今回提供された修正プログラムをできるだけ早く適用すべきである。すぐに修正プログラムを適用できない場合は、H.323フィルタを無効化することで攻撃回避が可能だが、この場合はH.323プロトコルを使用するアプリケーションは使用できなくなるので注意が必要だ。なおSmall Business Server 2000／2003には、ISA Server 2000が含まれているため、対象プラットフォームとなっている（SBS 2003日本語版はまだ未発売だが、マイクロソフトの情報ページによれば、今回提供される修正プログラムはSBS 2003日本語版にも対応しているとされている）。

対象プラットフォーム

　今回報告されたセキュリティ・ホールの影響を受ける環境は以下のとおり。マイクロソフトから公開された修正プログラムを適用するには、以下の「対象プラットフォーム」に示したService Packの適用が必要である。

影響を受けるソフトウェア	対象プラットフォーム
Internet Security and Acceleration Server 2000	Windows 2000／Windows Server 2003＋ISA Server 2000 SP1／Feature Pack 1
Small Business Server 2000	Small Business Server 2000 SP未適用／SP1
Small Business Server 2003	Small Business Server 2003
*注意：SBS 2003日本語版はまだ未発売だが、マイクロソフトの情報ページによれば、今回提供される修正プログラムはSBS 2003日本語版にも対応しているとされている

適用に関する注意点

■サービス追加時には修正プログラムの再適用が必要
　MS04-001の修正プログラム適用した後、VoIPを利用するためのH.323 Gatekeeperサービス（H.323 Gatekeeper対応アプリケーションに対し、さまざまな通信機能をサポートするサービス）を追加インストールした場合には、修正プログラムの再適用が必要である（追加インストールにより、いったん適用したMS04-001の修正プログラムが無効になる）。

■適用後のシステムの再起動は不要
　MS04-001の修正プログラム適用後、システムの再起動は不要である。ただし修正プログラムの適用によって、ISA Serverのサービスは再起動される。このためISA Serverのサービスが再起動されるまでの間（約1分）はISAサーバを経由した通信は行えないので注意が必要である。

セキュリティ・ホールの概要と影響度

　負荷分散などの理由から、フロントエンドとバックエンドに分けてExchange Server 2003を稼働させている環境で、WebブラウザでExchangeデータにアクセス可能にするOutlook Web Access（OWA）を使用する際の、Exchange Server 2003間での認証処理に脆弱性が存在することが明らかになった。この脆弱性により、OWAでアクセスしたユーザーが、他人のメール・ボックスに接続してしまう危険がある。

　間違ってアクセスされる可能性があるメール・ボックスは、その直前にOWAでアクセスされたものに限定されるため、この脆弱性を悪用して、攻撃者が特定ユーザーの情報にアクセスするのは容易ではない。しかし攻撃が成功した場合は、正当なユーザーが可能なすべての操作（メールの読み取り／送信／削除、カレンダーの管理など）が実行される危険がある。

　この脆弱性の影響が及ぶのは、フロントエンドとバックエンドに分けてExchange Server 2003を構成しており、かつOWAを使用している場合に限られる。また前述したとおり、特定ユーザーの情報にアクセスするのは容易ではない。この脆弱性が悪用される危険はそれほど高くないと推測されるが、Exchange Server 2003の管理者は、定期メンテナンス時など適当なタイミングで修正プログラムを適用する必要があるだろう。

対象プラットフォーム

　今回報告されたセキュリティ・ホールの影響を受ける環境は以下のとおりである。

適用に関する注意点

■適用後のシステムの再起動は不要
　MS04-002の修正プログラム適用後、システムの再起動は不要である。ただし修正プログラムを適用すると、IISのサービスやそのほか関連するサービスが再起動される。このためExchange Server 2003によるメッセージ・ルーティングは一時停止するので注意が必要である。

セキュリティ・ホールの概要と影響度

　MDAC（Microsoft Data Access Components）に未チェック・バッファがあり、ユーザー・アカウントの権限で、攻撃者による任意のプログラム実行を許してしまう脆弱性が存在することが明らかになった。ただし今回の脆弱性を攻撃するには、攻撃対象とするコンピュータと同一のサブネット上でSQL Serverをシミュレートする必要がある。このため、外部のインターネットから攻撃を加えるのは困難である。

　データベースを利用するMDACクライアントは、ブロードキャスト・リクエストを送信することで、ネットワーク内でSQL Server（やMDAC）を実行しているコンピュータのリスト（一覧）を参照している。MDAC内部でこのブロードキャストに応答する部分に未チェック・バッファがあり、不正なUDPパケットを受信すると、バッファ・オーバーランが発生する。しかし攻撃者がこの攻撃を悪用するには、同一サブネット上にSQL Serverの動作をシミュレートするサーバを設置し、MDACのリクエストに対して不正なUDPパケットを返信しなければならない。このような攻撃をインターネットから直接実行することは困難だ。

　とはいえMDACは、Windows 2000やWindows XP、Windows Server 2003、SQL Server 2000の一部としてインストールされるなどOSの一部としてデフォルトでインストールされていることから、ほとんどのコンピュータが脆弱性の影響を受ける。なるべく早期に修正プログラムの適用作業を開始すべきである。

対象プラットフォーム

　今回報告されたセキュリティ・ホールの影響を受ける環境は以下のとおりである。マイクロソフトから公開された修正プログラムを適用するには、以下の「対象プラットフォーム」に示したService Packの適用が必要である。

影響を受けるソフトウェア	対象プラットフォーム
Microsoft Data Access Components 2.5	MDAC 2.5 SP2／SP3（Windows 2000 SP2／SP3／SP4、Windows NT 4.0＋MDAC 2.5 SP2／SP3）
Microsoft Data Access Components 2.6	MDAC 2.6 SP2（Windows 2000／NT 4.0＋SQL Server 2000 SP2など）
Microsoft Data Access Components 2.7	MDAC 2.7／2.7 Refresh／2.7 SP1／2.7 SP1 Refresh（Windows 2000／NT 4.0＋SQL Server 2000 SP3／SP3a、Windows XP SP未適用／SP1／SP1aなど）
Microsoft Data Access Components 2.8	MDAC 2.8（Windows Server 2003など）
注意：「対象プラットフォーム」に含まれていなくても、単体で配布されているMDAC 2.5〜2.8をインストールしている場合は、この脆弱性の影響を受けるため、修正プログラムの適用が必要である。

適用に関する注意点

■サービスパックの適用で修正プログラムの再適用が必要
　MDACは、Windows 2000／XPやSQL Server 2000のサービスパックにも含まれている。このためいったん修正プログラムを適用しても、サービスパックの適用によってMDACのバージョンが更新されてしまう場合がある。サービスパックの適用によってMDACのバージョンが変更になった場合（MDAC単体版をインストールした場合も同じ）、MS04-003の修正プログラムの再適用が必要である。各サービスパックに含まれるMDACのバージョンは以下のようになっている。