サービス」に見つかった。サービスは,リソース(ファイルやプリンタなど)が配置されている場所を調べ,ユーザーのリクエストを適切な場所(ローカル・ファイル・システムやネットワーク・コンポーネント)に渡す役割を担うサービスである。サービスに,未チェックのバッファが含まれることが明らかとなった。このため,攻撃者やワームから細工が施されたメッセージを送信されると,バッファ・オーバーランが引き起こされ,任意のコードを実行させられる可能性がある。サービスはデフォルトで有効になっているので,未対策のマシンはネットワークに接続しているだけで被害を受ける恐れがある。対策はパッチを適用すること。危険なセキュリティ・ホールなので,今までの“超特大”セキュリティ・ホール同様,すべての対象マシンに対して,パッチの適用を徹底する必要がある。パッチを適用する上での注意点が複数パッチの適用にはいくつか注意点がある。Pack(SP)2/SP3/SP4が記載されている。これは,SPを適用していない環境や,SP1の環境は影響を受けないということではないので注意してほしい。サポート対象ではないために記載されていないだけで,SP未適用およびSP1の環境も同じように影響を受ける。SP未適用およびSP1の環境では,SP2以降を適用した上で修正パッチを適用する必要がある。2000に関しては,もう一つ注意点がある。日本語のセキュリティ情報には,「パッチの適用後に,再起動が必要であることを通知する確認メッセージが表示されなければ,再起動する必要はない」といった内容が記載されている。patch.(このセキュリティ・パッチを適用した後,コンピュータを再起動しなければならない。原稿執筆時点(11月16日)では日本語のセキュリティ情報にこの情報は記載されていないが,必ず再起動しておこう。Pro編追記】11月17日,日本語情報でも,再起動をする必要があると修正された。XPについては,「MS03-049」のパッチは存在しない。用パッチには,「MS03-049」を修正するファイルが含まれていたからだ。実施しても「MS03-049」のパッチは表示されない。,「MS03-049」のパッチを含む「MS03-043」のパッチは再リリースされているので要注意である。10月16日に公開された当初の「MS03-043」用パッチは,パッチの適用中にマシンがハングアップする場合があった。用の新しいパッチが10月30日に公開されている(関連記事)。Protection)機能に関連する問題も修正されている。システム・ファイルが勝手に置き換えられることを防ぐ機能である。%systemroot%\system32\dllcache)」に収められたオリジナルのシステム・ファイルを使って,元の状態に戻す。当初公開されたパッチでも,システム上のセキュリティ・ホールがあるファイル(wkssvc.dll)は修正済みのものに置き換えられる。セキュリティ・ホールはふさげる。フォルダ内のwkssvc.dllは修正済みのものに置き換えない。このため,パッチの適用後,wkssvc.dllが削除されたりしてWFPが働くと,セキュリティ・ホールがある古いwkssvc.dllが復元されてしまう。フォルダの問題については,新しいパッチが公開された10月30日時点では公表されなかった。英語情報では,新しいパッチの公開から2週間後の11月14日付けで,この問題があったこと,および新しいパッチで修正されたことが明らかにされた。日本語情報には,原稿執筆時点(11月16日現在)で,この問題に関する記載はない。用パッチの問題を確認したこと,および新しいパッチで問題が修正されていることなどが追記された。Analyzer)」などのツールで適切にチェックできないという問題もある。具体的には,ツールでチェックすると,「MS03-043」用のパッチを適用していても「最新の適用状況ではない」という警告が出てしまう。以上のように,当初公開された「MS03-043」用パッチには問題が複数ある。XPの場合,当初公開された「MS03-043」用パッチを適用していれば,「MS03-043」および「MS03-049」のセキュリティ・ホールはふさげるものの,10月30日に公開された新しいパッチを適用すべきである。Update」を実施しても,新しいパッチは表示されない。KB828035」からパッチを入手し,手動で適用する必要がある。Update」を実施した場合には,新しいパッチが適用されているので再適用する必要はない。XPの場合には,同じパッチを何度適用しても問題はない。KB828035」からパッチを入手して適用しておこう。Updateを頼りにしている。Updateに表示されない現状では,ほとんどのユーザーは新しいパッチを適用できないだろう。問題を修正したのだから,古いパッチを適用している場合には,新しいパッチが適用対象として表示されるようにしてもらいたい。Updateの更新対象として表示されるように修正された。Updateの更新対象として表示されたが,11月19日に再度試した際には更新対象として表示されなくなっていた。このため現時点では,「%systemroot%\system32」(例えば,C:\WINDOWS\system32)の「wkssvc.dll」ファイルのバージョンを自分で確認し,必要に応じて手動で新しいパッチを適用する必要がある。KB828035」からパッチを入手して適用する。新しいパッチを適用すると,wkssvc.dllのバージョンは「5.1.2600.1309」になる。現時点では「トラブル・メンテナンス速報」には,この件に関するアナウンスはない。【以上,11月19日筆者追記】さらに注文をつければ,危険なセキュリティ・ホールについては,パッチが適用されているかどうかを調べるツールを公開してもらいたい。過去の“超特大”セキュリティ・ホールである「MS03-026」と「MS03-039」については,適用されているかどうかを調べるツールをマイクロソフトは公開したが,「MS03-043」と今回の「MS03-049」については公開していない。「MS03-043」と「MS03-049」も,「MS03-026」と「MS03-039」同様,大変危険なセキュリティ・ホールである。チェック・ツールを公開してもらいたい。Security」である。Overflow」を公開した。Securityからマイクロソフトへの報告日は9月15日とされている。報告からパッチが公開されるまで2カ月弱かかったようだ。ドキュメントには無い「拡張RPC機能」が存在するために,特別な権限がなくても攻撃可能であることなどが記載されている。Securityの名前があることから,「MS03-039」のときと同じように,同社からマイクロソフトへ事前報告や協力があったと考えられる。このため,セキュリティ情報の公開前に,このセキュリティ・ホールが悪用されている可能性は小さいと考えられる。Environment」を公開している。「MS03-043」のセキュリティ・ホールを突くコード(Exploit)は,パッチ公開の翌日(米国時間11月12日,日本時間11月13日)に出現している。「MS03-043」のExploitは,パッチの公開から4日後に出現した。パッチが公開されてからExploitが出現するまでの期間はますます短くなっている。警察庁が11月14日に公開したレポート「Windowsの脆弱性(MS03-049)を攻撃するプログラムについて」にあるように,最初に公開されたExploitは,DoS(サービス妨害)攻撃しか行えないものだった。マシンを乗っ取れるExploitではなかった。2000に対してのみ有効だった。system』でテストを行った。XPを攻撃するExploitを作成するための手がかりはない」といったコメントが書かれている。XPも対象とする新たなExploitが続々出現している。139番ポートへのスキャンが増加していること,これらのスキャンは「MS03-049」を利用した侵入の試みである可能性があることを警告している。Exploitをベースにしたワームの出現は時間の問題だと考えたほうがよい。基本的な対策で回避可能ただ,きちんと対策を実施しているユーザーや管理者は慌てる必要はない。セキュリティ情報「MS03-049」の「回避策」にあるように,基本的な対策で「MS03-049」を突く攻撃を防げるからである。セキュリティ情報では,以下の4点を具体的な回避策として挙げている。サービスを無効にする(1)は,過去の記事「Windowsのクラッキング対策“総まとめ”」をはじめ,何度もこのコラムで解説したことである。攻撃に利用されることが多いポートなので,最低限これらのポートはファイアウオールやエッジ・ルーターでブロックする必要がある。2003が標準搭載するICF(インターネット接続ファイアウォール)機能は対策として有効である。それほど有効ならば,デフォルトで有効にしてほしいが,無効になっているのが現状である。ICFをデフォルトで有効にすると,マシンにインストールされているネットワーク関連のソフトウエアや機能が意図した通りに動作しない場合があるからだ。有効にすることを強くお勧めする。有効にした場合にトラブルが発生した場合には,「ファイアウォールについて知る」をチェックしてほしい。サービスへのリンクが紹介してある。SP2ではICF機能をデフォルトで有効にする予定であるという(関連記事)。(3)は目新しい情報である。フィルタリング」を有効にすると,受信者が送信を要求していないすべての受信トラフィックをブロックできる。発信するトラフィックや,ユーザーが許可したポートへのトラフィックには影響を与えない。2000の場合には,とても有効な対策となる。必要に応じて設定しよう。フィルタリングを構成する」を参照してほしい。(4)については,セキュリティ情報にあるように,LAN環境で使用しているマシンでは無効にすると問題が発生する場合がある。サービスを無効にしたほうがよいだろう。「月1回」のメリットとデメリット「MS03-049」は,11月の“月間セキュリティ情報”の一つとして公開された。月間セキュリティ情報の公開は,10月に続いて2回目である。このように,月1回まとめてセキュリティ情報を公開することへの変更は,ユーザーにとって喜ぶべきことなのだろうか。プロセスの改定」に記載されている。今回の変更は「お客様のために修正プログラム管理プロセスの管理の容易性および予測可能性を向上させることを支援する」としている。具体的には,「セキュリティ修正プログラムのリリースのタイミングが予測可能になることにより,お客様は修正プログラムのテストおよびインストールを前もって計画することができます」などを,ユーザーのメリットとして挙げている。確かに,こうしたメリットはあるだろう。これは,ユーザーだけではなく,攻撃者にとっても同じである。“効果的な”攻撃計画を立てやすくなる。スケジュール」に明記されている。この中から,効果的な攻撃が可能な日を選んで,その日に公開されたセキュリティ・ホールを突くような攻撃を行えるのである。具体的には,セキュリティ情報とパッチの公開日が休日になるセキュリティ・ホールを狙うのである。休日には,特に企業や組織では,パッチを適用しない可能性が高いために,情報の公開とパッチの適用にタイムラグが発生する。その日のうちにセキュリティ情報やパッチ,セキュリティ・ホールの発見者が公開したレポートなどを参考にして,例えばワームを作成する。休日明けの未明にそのワームをばらまく。情報やパッチは公開されているものの,企業のマシンはパッチが未適用なままだ。このため,就業開始とともに,ほとんどのマシンはワームに襲われ,被害は甚大なものになる――。このようなシナリオは十分に考えられるのではないだろうか。実は,11月の月間セキュリティ情報にはこの危険性があった。Day)」という休日だった。Securityからも詳細なレポートが公開されていた。これらを参考に,11日中にワームが作成されて,その日のうちにばらまかれていれば,大変な事態になっていたかもしれない。5回目の月間セキュリティ情報の公開日である2004年2月11日は「建国記念の日」の休日である。日本向けに,この日公開されるセキュリティ・ホールが“狙い撃ち”される可能性がないとは言い切れないだろう。マイクロソフトは月1回まとめて公開することのメリットとして「パッチ適用の計画を立てられる」だけではなく,「攻撃者に“ヒント”を与える機会を減らせる」ことも挙げているようだ(関連記事)。Exploitは,パッチをリバース・エンジニアリングすることで作成されるケースが多いので,月1回にまとめて公開すれば,ヒントを与える機会が減少し,それに伴い,ワームなども減少するはずであるという説明をしていると聞く。XP用パッチには,今回公開された「MS03-049」のパッチが含まれていた。2000用のパッチには含まれていなかったので,プラットフォームごとのパッチを比較して,その違いをリバース・エンジニアリングしていれば,「MS03-049」のセキュリティ・ホールは,10月の時点で明らかになっていた可能性がある。レア・ケースではあろうが,そのような比較が,攻撃方法を探す手法として有効であるということを示してしまった。「MS03-043」と「MS03-049」の関係と同じようなパッチが今後公開され,上記の手法を採られた場合には,次のパッチの公開まで1カ月あるので,攻撃者は悠々と攻撃準備を行える。ワームなどが出現すれば,スケジュールを無視してマイクロソフトはパッチを公開するだろう。それは,被害が出てからになる可能性は高い。今回の「MS03-049」で明らかになったように,たとえ“超特大”のセキュリティ・ホールであっても,実際に被害が出なければスケジュール通りに公開されると考えられるからだ。月に1回まとめて公開することのメリットは確かにあるだろう。セキュリティ・ホールの数が減るわけではない。上記のように,攻撃者のメリットになる可能性もある。今まで同様,パッチを適切に適用することはもちろん,基本的なセキュリティ対策の実施が不可欠である。最後に,上記以外のWindows関連セキュリティ・トピックス(2003年11月16日時点分)については,スペースの都合上,詳細は割愛する。各プロダクトごとにまとめたリンクを記事末に記したので,参考にしてほしい。Proでも関連記事をいくつか掲載している。Proの過去記事を確認していただきたい。(MS03-048)」は,セキュリティ・ホールを悪用する方法が公開されているので,早急に対策する必要がある(関連記事)。関する情報が追加されている。情報が一部修正されている。確認しておいたほうがよいだろう。「よく寄せられる質問」を更新。Proセキュリティ・サイトが提供する週刊コラムです。Windows関連のセキュリティに精通し,「Winセキュリティ虎の穴」を運営する山下眞一郎氏に,Windowsセキュリティのニュースや動向を分かりやすく解説していただきます。現場の負担軽減を!医療界でのAWS活用法500万社が導入。情報銀行の成り立ち、事例、現状課題やその行方を網羅。経営戦略である以上、「会計」の知識やスキルが欠かせません。