マイクロソフトは、月例の修正プログラム公開日である2004年11月10日、ファイアウォール/Webプロキシ・ソフトウェアのISA Server 2000(Microsoft
Internet Security and Acceleration Server 2000)とProxy Server 2.0に脆弱性があり、攻撃者によるサイトの「なりすまし」が可能であることを公表し、その修正プログラムの提供を開始した。
リモート・コード実行などの直接的な攻撃はできないこと、脆弱性を攻撃するには複数ステップの細工が必要であり、容易に攻撃できないことから、最大深刻度は「重要」レベル(4段階の深刻度の高い順から2番目)とされている。ただし対象ソフトウェアはファイアウォール/Webプロキシであり、万一の場合は多数のクライアントに影響が及ぶ可能性があることなどから、ISA
Server 2000/Proxy Server 2.0をインターネット向けに利用している場合には、早期の修正適用が必要である。
MS04-039/888258
ISA Server 2000/Proxy Server 2.0で、インターネット・コンテンツの「なりすまし」を可能にする脆弱性
ファイアウォール/Webプロキシ・ソフトウェアのISA Server 2000/Proxy Server 2.0において、DNSの逆引き参照機能に脆弱性があり、これらを介してインターネットにアクセスするクライアント・コンピュータが、本来とは異なるインターネット・サイト(インターネット・コンテンツ)に誘導される危険性がある。最新版であるISA
Server 2004には今回の脆弱性はない。
ISA Server 2000/Proxy Server 2.0は、IPアドレスからインターネット・ドメイン名を問い合わせる逆引き参照を行った場合、その結果をキャッシュに保存し、次回の名前解決ではこのキャッシュを使用する。しかしこのキャッシング方法に脆弱性があり、攻撃者は有効でないホスト名をキャッシュさせることができる。いったんキャッシュされた情報は、ISA
Server 2000/Proxy Server 2.0による以後のDNSの前方参照(ホスト名からIPアドレスを取得する通常のDNS参照)でも使用されるのだが、この処理はキャッシュ内のホスト名が正しいものであることを前提としている。このため、攻撃によってキャッシュ内に不正なホスト名とIPアドレスの組が記録されていると、参照の際に本来とは異なるIPアドレスが返されてしまう。つまりユーザーは信頼できるネット・コンテンツをアクセスしているはずなのに、攻撃者が詐称したコンテンツにアクセスしてしまう。