Windows Serverサービスの脆弱性
すでに悪用されている重度の問題

危険度：高

2008年10月23日


【概要】

対象：
最新版のWindows

攻撃方法：
細工したネットワーク・トラフィックを送信

影響：
攻撃者はユーザのWindowsコンピュータを完全に操作できるようになる

対策：
状況に適したマイクロソフトのパッチを至急インストールすること


【詳細】

米国時間の10月23日、マイクロソフトは来月のパッチ提供日を待たずに、緊急でセキュリティ情報をリリースした。このセキュリティ情報でマイクロソフトはWindowsの最新版に搭載されているコア・ネットワーク・コンポーネントの1つに存在する非常に深刻な問題について説明している。Serverサービスは、ネットワーク・ファイル共有や印刷などオペレーティング・システムの様々なネットワーク機能の役割を担う主なWindowsコンポーネントだが、この脆弱性はそのServerサービスに影響を及ぼしている。マイクロソフトによると、ServerサービスはRPC（リモートプロシージャコール）のリクエストを処理する方法に関係する未特定問題の影響を受けており、リモート攻撃者は細工したネットワーク・パケットを送信することでこの脆弱性を悪用し、ユーザのWindowsコンピュータを完全に操作できるようになるという。大方の場合、匿名や未認証の攻撃者でもこの脆弱性を悪用することができるが、最近のマイクロソフト製品に見られるセキュリティ規制によりWindows VistaやServer 2008を使用しているコンピュータでこの欠陥を悪用する場合、攻撃者にはWindowsの有効なログイン・クレデンシャルが必要となる。

攻撃者はこの種のコア・ネットワーク欠陥を大規模な自動攻撃で悪用することを好むため、この問題は大方のWindowsユーザに対し深刻なリスクを提示している。また、この欠陥はスピアー攻撃（つまり標的型攻撃）においてすでに悪用されているとマイクロソフトは述べている。おそらく近いうちに、この欠陥はワームやボットで悪用されるだろう。しかし攻撃者がこの脆弱性を利用する場合、TCPポート139や445にアクセスしなければならないが、管理者の多くは標準設定でそのようなポートをファイアウォールでブロックしている。ファイアウォールでWindowsネットワーキングを特別に許可するようにしていなければ、この欠陥が外部の攻撃者から悪用される心配はない。しかし、ボット・クライアント（または他の種類のマルウェア）が内部のマシンに密かに入り込んだ場合、攻撃者はこの欠陥を簡単に悪用しネットワーク全体を感染させることができる。こうした理由から、この脆弱性に対応するパッチを至急インストールすることを強く勧める。


【対策】

マイクロソフトはこの脆弱性を修正するWindowsパッチをリリースしている。状況に適したパッチを至急ダウンロードし、テストしてからネットワーク全体に適用することを勧める。

日本語版をダウンロードするには「Change Language:」のドロップダウン・メニューから「Japanese」を選択し「Change」をクリックする。

MS08-067:

• Windows 2000
• Windows XP
• Windows XP x64
• Windows Server 2003
• Windows Server 2003 x64
• Windows Server 2003 Itanium
• Windows Vista
• Windows Vista x64
• Windows Server 2008
• Windows Server 2008 x64
• Windows Server 2008 Itanium

ウォッチガード・ユーザ：

ウォッチガードのFireboxは、この脆弱性を利用するために必要なポート（TCPポート139と445）を標準設定でブロックしている。特にこうしたポートを許可するようポリシーを追加していなければ、外部の攻撃者が内部にあるコンピュータに対して脆弱性を悪用することはできない。しかし、内部攻撃の可能性を避けるためにも至急パッチを適用することを勧める。


【ステータス】

マイクロソフトはこの問題を修正するパッチをリリースしている。


【参考資料】

マイクロソフトのセキュリティ情報：MS08-067


この記事はコーリー・ナクライナー（Corey Nachreiner, CISSP)によって調査されかかれた記事です。