2005年12月14日(水) 21時02分

IEに緊急の脆弱性、未修正の脆弱性も解消へ（MYCOM PC WEB）

マイクロソフトは、月例で公開している脆弱性情報の12月分を発表、修正パッチの提供を開始した。提供される脆弱性情報は、「Internet Explorer 用の累積的なセキュリティ更新プログラム (905915) (MS05-054)」と「Windows カーネルの脆弱性により、特権が昇格される (908523) (MS05-055)」の2種類で、危険度を表す最大深刻度はそれぞれ「緊急」「重要」。対策は、パッチをダウンロードして適用すること。

○Internet Explorer 用の累積的なセキュリティ更新プログラム (905915) (MS05-054)

MS05-054( http://www.microsoft.com/japan/technet/security/bulletin/MS05-054.mspx )は、IEに複数の脆弱性が存在。それぞれの脆弱性に応じて深刻度は異なり、全体としてIE 5.0 SP4/IE 5.5 SP2/IE 6 SP1、およびWindows XP SP2上のIE6で「緊急」、Windows Server 2003上のIE 6で「警告」となっている。

含まれる脆弱性のうち「COM オブジェクト インスタンス化のメモリ破損の脆弱性」は、10月のMS05-052の脆弱性( http://pcweb.mycom.co.jp/news/2005/10/13/011.html )にも関連した脆弱性で、本来はIE上で使用されないCOMオブジェクトがActiveXコントロールとして実行されてしまうことで、リモートでコードが実行され、コンピュータを完全に制御される危険性がある。修正パッチでは特定のCOMオブジェクトKill Bitを設定して脆弱性を回避する。MS05-052は悪用が確認されていたが、今回の脆弱性については現時点で悪用は確認されていない。

「不適切な Document Object Model オブジェクトのメモリ破損の脆弱性」は、JavaScriptでwindow()イベントが使われた場合に任意のコードが実行されるというもの。ネット上では5月にすでに情報が公開され、この脆弱性を悪用するトロイの木馬も登場しており、ユーザーは至急パッチを適用すべきだ。

「ファイルのダウンロード ダイアログ ボックスの操作に関する脆弱性」は、ファイルのダウンロードダイアログボックスを表示する方法と、Webページでユーザーのキー入力を受け付ける方法に脆弱性があり、リモートでコードが実行される。

「HTTPS プロキシの脆弱性」は、HTTPSでの通信を行う際にHTTPSプロキシサーバーを使用し、かつそのプロキシサーバーを使う際に基本認証を行った場合に問題が発生、暗号化されるHTTPS接続であるにもかかわらず、プロキシサーバーに平文でURLが送信されるため、攻撃者がその情報を読み取る、情報漏えいの危険性が存在する。この脆弱性はすでに公表されていたもの。

○Windows カーネルの脆弱性により、特権が昇格される (908523) (MS05-055)

MS05-055( http://www.microsoft.com/japan/technet/security/bulletin/MS05-055.mspx )は、非同期プロシージャコール(APC:Asynchronous Procedure Call)がアイテムを処理する方法に脆弱性があり、特権が昇格、コンピュータの完全な制御が奪われる危険性がある。影響を受けるのはWindows 2000 SP4のみで、他のOSは影響を受けない。

ただし、攻撃者はローカルでコンピュータにログインしなければならず、インターネット経由で攻撃を行うことができないため、深刻度は「重要」レベルにとどまっている。また、悪用の事例は現時点で確認されていない。

○Sony BMGのrootkit削除ツールも

PC内に感染したウイルスなどを削除する「悪意のあるソフトウェアの削除ツール」も更新され、米Sony BMGが販売していた音楽CDのコピー防止技術がインストールしたrootkitの削除にも対応した。このSony BMG問題が噴出した後、Microsoftではこのrootkitに対して悪意のあるソフトウェアの削除ツールが対応することを明らかにしており、今回は予告通りに駆除に対応した。

同時に、このrootkitを利用してバックドアを仕掛けるトロイの木馬「Win32/Ryknos」の駆除にも対応している。そのほか、ICR経由で感染したコンピュータを自由に制御するための「Win32/IRCbot」についても削除できる。

(小山安博)

多層防御を目指すマイクロソフトのセキュリティ戦略の最新動向
http://pcweb.mycom.co.jp/news/2005/11/25/008.html

【レポート】Antinnyの大流行、異常事態はなぜ起こったのか
http://pcweb.mycom.co.jp/articles/2005/11/22/antinny/

IEに新たな脆弱性 - パッチ未提供で実証コードが公開される0-dayアタック
http://pcweb.mycom.co.jp/news/2005/11/22/017.html

ソニーBMGの音楽CD問題で、悪用するトロイの木馬が登場
http://pcweb.mycom.co.jp/news/2005/11/11/001.html

マイクロソフト、月例のセキュリティパッチは1件 - 危険度は緊急
http://pcweb.mycom.co.jp/news/2005/11/09/005.html

未修正のIEの脆弱性も解消へ - MS、10月の月例アップデートを公開
http://pcweb.mycom.co.jp/news/2005/10/13/011.html

パッチの提供を中止、危険な脆弱性は解消されず - 9月の月例アップデート
http://pcweb.mycom.co.jp/news/2005/09/14/009.html

マイクロソフト
http://www.microsoft.com/japan/security/

http://headlines.yahoo.co.jp/hl?a=20051215-00000097-myc-sci