Exchangeの無限ループ問題とSharepointのコード実行は殆どの管理者にとってリスクなし

2010年12月14日

配信済みのパッチデイ記事でも書いたが、マイクロソフトは本日、17件のセキュリティ情報をリリースし、同社の人気が高い製品での脆弱性を修正した。既に、米国でLiveSecurityのアラート（英語）を発表しており、次のリンクを参照してほしい。

・IE Suffers from Five New "Drive-by Download" Vulnerabilities
・Only One Critical Flaw in a Dozen Windows Bulletins
・Office Update Fixes Flaw with Image Embedded Documents



しかし、マイクロソフトのExhangeとSharepointについてのセキュリティ情報2件では、アラートを発表していない。正直なところ、この2件のリスクが非常に低いため、アラートを書くまでもない。とは言うものの、これらの脆弱性に影響されているユーザもいるかもしれないので、これらの詳細を説明する。

MS10-104: SharePointコード実行脆弱性

普通であれば、「コード実行」の脆弱性は、非常に心配である。誰も攻撃者が自分のPCでコードを実行してほしくない。特に、Sharepointサーバで実行してほしくない。しかし、この脆弱性は事態を軽減する要素が多くあるので、比較的大事ではないと言える。

この脆弱性は、「Document Conversion Launcher」というサービスの不正なリクエスト処理に関係している。もし攻撃者がこのサービスに特別に生成されたSOAPリクエストを送った場合、この脆弱性を悪用して、Sharepointサーバでコードを実行できる可能性がある。しかし、多くの状況によって、この脆弱性の重要度は軽減化される。まず、Document Conversion Launcherは標準で実行されていない。従って、このサービスを使っていなければ、影響はない。また、攻撃者は、この特別なサービス（TCPポート8082）へのアクセスが必要である。殆どの管理者は、ファイアウォールで外部ユーザがこのサービスへアクセスできるのを制限している。そして、もし攻撃者がこの脆弱性を悪用して、サーバに侵入したとしても、「ゲスト」のアクセス権でしかコードを実行できない。これによって、攻撃者の行動は大きく制限されてしまう。この脆弱性が殆どのSharepoint管理者に大きな危険の可能性があるとは思えない。しかし、もしSharepoint2007を使っているのであれば、念のためにマイクロソフトのアップデートをインストールすることを勧める。

MS10-106: Exchange無限ループDoS脆弱性

DoS攻撃の脆弱性は、コード実行に比べると、リスクはあまり高くないが、まだExchnageメールサーバのようなビジネスクリティカルなサーバに対しては、大きなリスクとなり得る。しかし、それも外部からの攻撃者が脆弱性を悪用できれば、という前提である。

マイクロソフトによると、Exchange Server 2007は、特別に生成されたRPCリクエストが原因となる無限ループに関連するDoS脆弱性問題がある。基本的に、もし攻撃者がこのようなリクエストをExchangeサーバに送った場合、Exchangeサービスの一つを停止させることができ、メールを受け取れなくなる可能性がある。しかし、2つの要素によって、この脆弱性は「大きな問題」から「どうでもいい問題」になる。まず、多くの管理者がRPC接続をファイアウォールでブロックしているため、外部攻撃者がこの脆弱性を悪用できることはない。そして、認証されたExchangeユーザのみが、この脆弱性を悪用できるリクエストを送ることができる。従って、内部のユーザのみが、この脆弱性を悪用できるということになる。しかし、とは言うものの、もしExchange 2007を利用しているのであれば、マイクロソフトのパッチを適用することを勧める。

これで今月、そして今年のマイクロソフト・パッチデイが全て終わったことになる。今年、マイクロソフトは106件のセキュリティ脆弱性を修正した。これは、2009年と2008年に比べると、若干増えている。しかし、数は増えているが、5年前に比べると、マイクロソフトのソフトウェアはよりセキュアになっていると信じている。今後もマイクロソフトがこのトレンドに反しないことを期待している。

Corey Nachreiner, CISSP

【原文】
Exchange infinte loop flaw and Sharepoint code execution pose little risk to most admins
http://www.watchguard.com/RSS/showarticle.aspx?pack=RSS.MS.Dec10.extra