Windows HotFix Briefings
(2004年12月17日版)

―― 修正プログラム適用に関する問題点、不具合情報の隔週レポート ――

DA Lab Windowsセキュリティ
2004/12/17

このHotFix Briefingsでは、HotFixの公開後に明らかになった問題点や不具合、各種情報ソースで明らかにされた脆弱性などの情報を隔週でまとめてお届けします。
 
[月例セキュリティ情報]
マイクロソフト、12月度月例セキュリティ情報を公開

 2004年12月15日、マイクロソフトは、12月度の月例セキュリティ情報を公開し、修正プログラムの提供を開始した。公開されたセキュリティ情報は全部で5種類であり、いずれも最大深刻度は2番目の「重要」レベルである。具体的には以下のとおり。

 これらに関する詳細情報は、あらためてHotFix Briefings ALERTとして12月21日付け記事として公開する予定である。

 
[不具合&修正プログラム情報]
XP SP2のダイヤルアップ接続で、Windowsファイアウォールが正常に機能しない

情報の内容 不具合&修正プログラム情報
情報ソース マイクロソフト
報告日 2004/12/13
対象環境 Windows XP SP2

 マイクロソフトは、Windows XP SP2のWindowsファイアウォールに不具合があり、ダイヤルアップでインターネットに接続した場合、Windowsファイアウォールが機能せず、共有フォルダや共有プリンタがインターネットの別のユーザーからアクセスできてしまうケースがあると公表し、この問題を解消する修正プログラムを提供開始した。

 この問題は、各種メディアなどでも話題になっていたもので、影響を受けるユーザーにとっては非常に深刻な問題である。

 Windowsファイアウォールでは、設定によってローカル・サブネットに対してのみ共有フォルダ/共有プリンタを公開することができるが、ダイヤルアップでインターネットに接続している場合、ローカル・サブネットの識別がうまくいかず、インターネット全体がサブネットとして識別されるケースがある。すると、インターネット上のだれもがローカル・サブネットにいることになり、外部の任意のユーザーが、そのコンピュータの共有資源にアクセスできてしまう。

Windowsファイアウォールのプロパティ
Windowsファイアウォールの[例外]では、使用ポートごとにネットワークのスコープを設定できる。

 XP SP2を利用し、ダイヤルアップでインターネットに接続している場合には、至急修正プログラムを適用すべきだ。


[修正プログラム情報]
Outlook Expressのメール分割指定でBCCアドレスが送信される

情報の内容 修正プログラム情報
情報ソース マイクロソフト
報告日 2004/12/16
対象環境 Outlook Express 5.5/Outlook Express 6.0

 マイクロソフトは、Outlook Expressでメールの分割送信を指定している場合、BCCに指定したアドレス(本来は相手には送信されないはずのアドレス情報)が相手に送られてしまう不具合を修正したOutlook Expressのアップデート版を公開した。

 この不具合については、2004年8月27日公開のHotFix Briefingsで告知している。この当時から修正プログラムは提供されていたが、当時入手に当たってはマイクロソフトのサポート窓口に電話で問い合わせる必要があった。

 不具合、および今回公開された修正に関するマイクロソフトのサポート技術情報はそれぞれ次のとおり。

 不具合を解消するOutlook Expressの修正プログラムは、Windows Updateから適用できる。Windows Update V4では「インストールする更新の選択」−「Windows 2000/Server 2003」、Windows Update V5ではカスタム・インストールから「ソフトウェア用の更新プログラムを追加で選択」−「Windows XP family」をそれぞれクリックすると現れる。またダウンロード センターでも、同じ修正プログラムが提供されている。

 
[不具合情報]
JavaScriptで動的にイベントを登録するとIE 6 SP1でメモリ・リークが発生する

情報の内容 不具合
情報ソース マイクロソフト
報告日 2004/12/02
対象環境 IE 6.0 SP1

 JavaScriptを利用して動的にイベント登録(onmousedownイベントなど)を行うWebページをInternet Explorer 6.0 SP1(IE 6 SP1)で表示すると、メモリ・リークが発生し、更新を繰り返すとメモリの使用量が増え続ける不具合がある。

 上記サポート技術情報には、不具合を再現するサンプル・コードも紹介されている。業務アプリケーションなどとして、Webアプリケーションを頻繁に使用するような場合には注意が必要だろう。ただしこの不具合の影響を受けるのはIE 6 SP1のみである。原稿執筆時点(2004年12月16日時点)では、修正プログラムは提供されていない。

 
[脆弱性情報]
IEのsysimage URIハンドラの脆弱性により、ローカル・ファイルの存在有無が判明する

情報の内容 脆弱性情報
情報ソース Secuniaなど
報告日 2004/12/7
対象環境 IE 5.5 SP2/IE 6 SP1

 セキュリティ情報ベンダのSecuniaなどによると、IE 5.5 SP2/IE 6 SP1のsysimage URIハンドラに脆弱性があり、ローカル・コンピュータに特定の実行プログラム・ファイルが存在するかどうかが、外部の攻撃者にリモートから知られてしまう危険があるとのことだ。sysimage URIハンドラは、実行ファイルに含まれるアイコンを参照するために利用される機能である。

 この脆弱性単独では、リモート・コードを実行したりはできないが、ファイルの存在が知られることは一種の情報漏えいであるし、ほかの脆弱性と組み合わせて悪用される危険があるので注意が必要だ。

 DA Labで検証したところ、この脆弱性の影響を受けるのはIE 6 SP1とIE 5.5 SP2のみで、IE 6.0 SP2(Windows XP SP2付属)については影響がないことを確認した。

 修正プログラムは未提供なので、脆弱性の影響を回避するには、IEのバージョンを変更するか、Activeスクリプト機能を無効にする必要がある。

 
[不具合情報]
XP SP2適用でWindows Updateが失敗するようになる

情報の内容 不具合情報
情報ソース セキュリティ情報掲示板
報告日 2004/12/9
対象環境 Windows XP SP2

 セキュリティ情報掲示板のHotFix Report BBSによれば、SUS(Software Update Services)のクライアント・コンピュータであるWindows XPにSP2を適用すると、手動実行したWindows Update接続がエラーを起こすようになるという。

 原因の詳細は不明だが、どうやらXP SP2では、Automatic Updates(自動更新)サービスの実行に必要なアクセス権が変更されていることが一因になっているようである。scコマンドでWindows Update用サービス(Automatic Updatesサービス)のオプションを変更することで、エラーを回避する方法も上記掲示板に投稿されている。

 本来SUSとWindows Updateは併用するものではないのだが、ユーザーの技術スキルが高い企業や部門など(開発部門など)では、SUSとWindows Updateを併用して、修正プログラムの内容により適用方法を切り分けているところもあるようだ。

 
[不具合情報]
IEで[新しいウィンドウで開く]を実行しても何も起こらない

情報の内容 不具合情報
情報ソース マイクロソフト
報告日 2004/12/6
対象環境 IE 5.0/IE 5.01 SP1/IE 6.0

 マイクロソフトは、IEで電子メール・メッセージやWebページのハイパー・リンクを右クリックし、[新しいウィンドウで開く]をクリックしても何も起こらなかったり、エラーが表示されたりする不具合があることを公表した。

 上記ページでの対処法をみると、regsvr32コマンドを利用して、urlmon.dllを再登録することで問題を回避できるとしている。詳細は不明だが、何らかの処理によってurlmon.dllの登録情報が破壊されるケースがあるようだ。urlmon.dllを更新する修正プログラムを適用した場合などは注意が必要だ。

 事実セキュリティ情報掲示板のHotFix Report BBSによれば、MS04-040(Internet Explorer用の累積的なセキュリティ更新プログラム)の適用により、この不具合が発生する場合あるとレポートされている。

 
[不具合情報]
Exchange Server 2003でSMTPキューにメッセージが残る

情報の内容 不具合情報
情報ソース マイクロソフト
報告日 2004/12/6
対象環境 Exchange Server 2003

 マイクロソフトは、メッセージング・サーバのExchange Server 2003において、ウイルス・スキャンAPIを使用するスキャン・プログラムと、インテリジェント・メッセージ・フィルタをインストールして使用している場合、ウイルスワームなどの攻撃用プログラムを含むメール・メッセージが削除されず、ローカルのSMTP配信キューに残ったままになってしまう不具合を公表し、修正プログラムを公開した。修正プログラムは、以下のサポート技術情報ページからダウンロードできる。

 ただしこの修正プログラムは、Exchange Server 2003にSP1が適用されていることが前提となっている。

 
[最新SP情報]
Windows Server 2003 SP1 RCの一般公開が開始

情報の内容 最新版SP情報
情報ソース マイクロソフト
報告日 2004/12/15
対象環境 Windows Server 2003

 マイクロソフトは、Windows Server 2003向けの初めてのService Packとして現在開発を進めているSP1について、開発途中版(RC版)の一般ユーザー向け公開を12月15日から開始した。下記ページからだれでもダウンロードできる。

 上記ページを見れば分かるとおり、今回は32bit版だけでなく、64bit版(Itanium版)も併せて公開された。

Windows Server 2003 SP1の新機能概要

 今回提供されたRC版は、企業のサーバ管理者が、Windows Server 2003へのSP1適用テストを実施するためのものだ。これにより、展開方法や既存ハードウェア/ソフトウェアとの互換性検証などが行える。なお、Windows Server 2003のインストールにあたっては、バックアップ用の領域や作業領域を含め、約700Mbytesのディスク容量が必要である(インストール後は445Mbytesを占有する)。

 なお英語だが、Windows Server 2003 SP1で修正が予定される変更点一覧は以下のページから参照できる。


そのほかの不具合情報、追加情報
 
  関連リンク
  HotFix Report BBS
     
 Windows HotFix Briefings


Windows Server Insider フォーラム 新着記事
@ITメールマガジン 新着情報やスタッフのコラムがメールで届きます(無料)

注目のテーマ

Windows Server Insider 記事ランキング

本日 月間