Reportで配信されたセキュリティ情報のバックナンバーです。「更新日」に明記された時点での情報ですのでご注意ください。脆弱性による危険性を示す。「緊急適用」の場合、すでに攻撃コードが公開されているなど、脆弱性を悪用した攻撃が開始される可能性がある。「SP待ち」の場合、現時点では危険性がそれほど高くないため、サービスパックに反映されるまで待つことが可能であることを示す。JPEGのイメージ処理の未チェック・バッファの脆弱性(バッファ・オーバーランの脆弱性)により、リモートで任意のコードが実行される危険性がある。ユーザーが管理者権限でログオンしていた場合、攻撃者によってプログラムのインストールやデータの表示/変更/削除などが実行され、最悪の場合はシステムが破壊される。SP1のほか、Office製品にも存在する。細工されたJPEGイメージがWebサイトに置かれたり、電子メールに添付されたりすることで攻撃が実行される可能性があるほか、Office文書などに埋め込まれる危険性もある。メール添付型のウイルスに悪用される危険性が非常に高い脆弱性だ。TechNetセキュリティ情報によれば、現在のところこの脆弱性に対する実証コードや攻撃は確認されていないという。脆弱性が公開されると、数週間以内に実証コードが公開され、それが悪用されるケースが増えてきている。脆弱性の対象が広範囲にわたっていることから、攻撃者が悪用する危険性が高い。至急、修正プログラムの適用を開始していただきたい。概要インターネットやデジタル・カメラにおける標準画像フォーマットの1つであるJPEGを処理する方法に脆弱性が存在する。未チェック・バッファが存在するため、細工されたJPEGファイルを表示する過程でバッファ・オーバーランが発生し、攻撃者によってJPEGファイルに仕込まれた任意のコードが実行される危険性がある。XP/2003をインストールしていても影響を受けるので注意が必要だ。Labでは、以下のプラットフォームで修正プログラムの適用テストを行った。■実証ファイルが公開(追記)MS04-028の脆弱性を確認するための実証ファイル(JPEGファイル)がセキュリティ関連の掲示板などで公開された。SP未適用/SP1/SP1a向けでファイルをプレビューすると、Explorer.EXEが異常終了するというもの。SP1aでは「Windows画像とFAXビューア」が起動し、その後にExplorer.EXEが異常終了(エラー・ダイアログの表示)した。多くのウイルス対策ソフトウェアが、この脆弱性に対応している。McAfeeの場合、実証ファイルは「トロイの木馬:Exploit-MS04-028.demo」と検出した。後述のように、gdiplus.dllはサードパーティ製のアプリケーションにも含まれており、システムから完全に脆弱性を解消するのは事実上無理そうだ。ウイルス対策ソフトウェアで、不正なJPEGファイルの表示をブロックすることが、当面の回避策となるだろう。1.0/1.1用などがそれぞれ用意されており、コンピュータのOSなどの環境によって適用する修正プログラムが異なる。2000が対象となる。Office用は、OSの種類によらず、インストールされているOffice製品に対応する修正プログラムの適用が必要だ。Frameworkのサービスパックを適用する必要がある。1.0ならSP3を、1.1ならSP1を適用する。Frameworkの脆弱性も解消される。SP1がインストールされていると脆弱性の対象となるので特に注意したい。SP2などを利用して開発を行っている場合、JPEG処理に脆弱性が存在するバージョンの「gdiplus.dll」が利用され、アプリケーション・パッケージに含まれている可能性がある(gdiplus.dllは再配布可能コンポーネントである)。このようなgdiplus.dllを含むアプリケーションも脆弱性の影響を受ける。して追加されたgdiplus.dllの影響を受けるかどうかを簡易に調べるには、[スタート]−[検索]−[ファイルやフォルダ]メニューを選択し、「ファイルまたはフォルダの名前」に「gdiplus.dll」を入力して検索を行い、gdiplus.dllがインストールされているかどうかを確認する。このとき、システム・フォルダや不可視属性ファイル/フォルダも検索するように、あらかじめ設定しておくこと。して特定アプリケーションのインストール・フォルダ以下にgdiplus.dllが見つかれば、対象となるアプリケーションを特定できる場合もある(この場合は、対象アプリケーションのベンダのWebサイトなどで対応状況を確認する)。実際には、DLLがアプリケーションとは別のフォルダにコピーされることが多く、対象アプリケーションの特定は容易ではないだろう。2003は、同名のDLLの複数バージョンを並行して利用可能なside-by-sideアセンブリの仕組みが用意されており、複雑になっている。この詳細については、以下のサポート技術情報を参照されたい。Bulletins」によれば、gdiplus.dllを単純に置き換えた場合、アプリケーションに障害が発生する可能性があるとのことだ。アプリケーション・ベンダから新しいgdiplus.dllを含む修正プログラムを入手すること。Bulletins):[参加には登録が必要]http://msevents.microsoft.com/CUI/WebCastEventDetails.aspx?EventID=1032257198&EventCategory=5&culture=en-US&CountryCode=US■マイクロソフト提供のドキュメント・ビューアにもgdiplus.dllが含まれる(追記)MS04-028で説明されている脆弱性を含んでいるgdiplus.dllは、マイクロソフトが無償提供しているドキュメント・ビューアにも含まれている。ViewerはVisioで作成したドキュメントを閲覧するためのツールだ。2002/2003の最新版はいずれもMS04-028の修正プログラムと同じ日にリリースされており、新しいgdiplus.dll(ファイルバージョン5.1.3102.1360または6.0.3264.0)が同梱されている。2002/2003を利用している場合は、最新版をインストールすべきだろう。2003に古いgdiplus.dll(ファイルバージョン6.0.3260.0)が含まれていた。2003に適用できない。マイクロソフトからの情報提供がないため、詳細は不明だ。2003をアンインストールして、代わりにPowerPointそのものを利用するなどの回避策をとる方が安全だ。SP2は、すでにこの修正プログラムが反映されており、脆弱性は存在しないという。.NETなどをインストールした場合は、対応する修正プログラムの適用が必要になる。SP1/SP1a用修正プログラムが表示されず、適用が行えない場合があることを確認した(配信は、SP未適用も表示されないと記載しましたが、SP未適用は問題がなかった)。Labで修正プログラムなどを調査した結果、「TechNetセキュリティ:MS04-024」にもMS04-028の修正プログラムに含まれるsxs.dllが含まれており、そのバージョンが「5.1.2600.1515」と、MS04-028の「5.1.2600.1363」よりも大きいものであることが分かった。Updateでは、このファイルのバージョンを確認し、「5.1.2600.1363」よりも大きなバージョン(つまり新しい)が存在するため、MS04-028の修正プログラムは適用済みと判断していたと思われる。UpdateでMS04-028の修正プログラムが表示される。Framework向けの修正プログラムは提供されず、最新のサービスパックをインストールすることが推奨されているので注意したい。SP2のサポートは、2004年6月30日に終了したため、MS04-028の修正プログラムはサポート対象外となっている。SP6aはサポート対象となっている。SP4の適用を開始していただきたい。■GDI+検出ツールを使った脆弱性の検出MS04-028の脆弱性は、広範囲のプログラムに存在することからマイクロソフトでは、対象となるマイクロソフト製品がコンピュータにインストールされているかどうかを検出するツールの提供を行っている。このツールは脆弱性の有無を調べるものではない。ソフトウェアにセキュリティ上の脆弱性が含まれている可能性があることが検出されました」と表示する。Tool):http://support.microsoft.com/default.aspx?scid=kb;ja;873374また、サードパーティ製品に関しては一切の検出作業を行わないので、前述のとおりgdiplus.dllをファイル検索してシステムに潜む脆弱性を調べる必要がある。現在、GDI+検出ツールの「サポート技術情報:873374」は英語のままで、そこに記載されているGDI+検出ツール(gdidettool.exe)へのリンクも英語版のものとなっているが、日本語版もダウンロード・センターで提供されている(英語版でも検出は可能だが、メッセージは英語となる)。ダウンロードしたgdidettool.exeを実行すると、使用許諾契約が表示されるので、[はい]ボタンをクリックする。これで検出が実行され、脆弱性の有無をダイアログで表示する。1.21を利用することになる(ただし、MBSAもOffice製品はローカルで実行しないと検出できない)。1.21で完全には確認できない。(833987)」が表示される。アップデート」にも同様に表示されるので確認できる。Office製品はMBSAをローカルで実行した場合のみ検出可能である。......JPEGファイルの処理を行うgdiplus.dllに脆弱性が存在する。XPからOSの標準コンポーネントとして提供されている画面やプリンタへの情報の出力を担うサブシステムである。GDI+がサポートするサブピクセル・アンチエイリアシングを利用することにより、液晶ディスプレイ上で文字を滑らかに表示することなどが可能になる。XP以前の環境に対しては、再配布パッケージを利用することでGDI+の機能が利用できる。そのため、サードパーティ製アプリケーションの一部として、脆弱性が存在するgdiplus.dllが含まれている場合があるので注意したい。JPEGファイルは、Webの画像やメールへの添付、Officeなどの埋め込みなどで一般的に利用されていることから、さまざまな攻撃パターンが考えられる。代表的なものは以下のとおりである。6の場合は攻撃を受ける)。6の場合は攻撃を受ける)。6に設定している場合などは攻撃を受ける)。XP/2003などの場合は攻撃を受ける)。2003は攻撃を受ける)。メール添付型ウィルスへの悪用が懸念される。知らない人から送付された画像ファイルは開かないようにしたい。MSへ−(注意)SUSはOffice製品などをサポートしていない。2003のダウンロード・センターのURLが誤っておりました。お詫びして訂正させていただきます。......以下のファイルにパッチが適用される。障害の発生が懸念される場合は、これらのファイルのバックアップを取っておくとよい。.NETはMSI形式のインストール・パッケージとなっているため、ここでは修正プログラム本体のみ一覧にする。Framework向けの修正プログラムはダウンロードが行えないため、一覧には含めていない。......修正プログラムが正しく適用できたかどうかは、以下のレジストリ・キーにある値を調べることで確認できる。1時間29分1コンソールのUpdateEXPERTで、今回の修正プログラムを適用するのにかかる時間を概算したもの。ネットワーク環境や適用するコンピュータの性能などによって適用時間は異なる。目安として利用してほしい。Reportは、UpdateEXPERTユーザー向けの情報を含んでいます。UpdateEXPERTは、管理者の負担を大幅に軽減するHotFix管理ツールです。UpdateEXPERTに関する詳細ならびにお問い合わせは、アップデートテクノロジー株式会社のホームページをご参照ください。Reportにご登録いただいておりますユーザー様にお送りしています。無断で複製・再配信などを行うことはできません。ついて、明示的又は黙示的な保証を行いません。本サービスの停止や欠陥、それらに起因して発生する損失や損害について、一切責任を負いません。