『Visual Studio 2005』に未対応の脆弱性、その危険性は？

Microsoft ( NASDAQ:MSFT ) は10月31日、 セキュリティ勧告 を公開し、『Visual Studio 2005』が用いる『ActiveX』コントロールに脆弱性があるとの情報が公になり、これを受けて同社は調査を行なっていると明らかにした。

またしても、正式対応前に情報が公になった今回の脆弱性だが、セキュリティ会社 Secunia は11月1日に公開した 勧告 の中で、同脆弱性の危険度を5段階中最大とした。また Secunia の勧告によると、同脆弱性を悪用した攻撃がすでに活発化しているという。

一方 Microsoft は勧告の中で、同脆弱性を突く概念実証コードが公開されていることは知っているが、その影響は「限定的」との認識を示した。

問題の脆弱性は、「WmiScriptUtils.dll」ファイル内の ActiveX コントロール『WMI Object Broker』に存在する。Secunia の情報では、同脆弱性により任意コード実行を許しかねないとしている。また Microsoft も、攻撃者にシステムの制御を完全に奪われる恐れがあると述べている。

なお Microsoft は、今回の脆弱性について脅威を緩和する条件をいくつか示した。まず Web サイトを用いた攻撃方法の場合、攻撃者はその Web サイトにユーザーを誘導しなければならないという。

また、デフォルト設定の『Windows Server 2003』および『同 Service Pack 1』で Visual Studio 2005 を運用し、『Enhanced Security Configuration』を有効にしている場合、今回の脆弱性の影響を受けないという。さらに Visual Studio 2005 ユーザーで、『Internet Explorer 7』をデフォルト設定で用いている場合も、WMI Object Broker コントロールを敢えて有効にしない限り、今回の脆弱性の影響は及ばない。

例によって Microsoft は、調査が完了次第、月例更新スケジュール外で修正パッチを公開するかどうか決めるという。また同社は勧告の中で、当面の対処法も示した。

なお Secunia は10月30日、Microsoft 製品に存在する別の脆弱性について 勧告 を発表している。こちらも未対応の脆弱性で、『Internet Connection Sharing』(ICS) による共有ネットワークインターフェースを通じ、細工した DNS クエリを発行することで発現する。Secunia によれば、少なくとも完全にパッチを適用した『Windows XP SP2』に影響が出ることを確認したという。ただし Secunia はこちらの脆弱性の危険度について、5段階中下から2番目と低めの評価を与えた。

この脆弱性によって『Windows Firewall』が無効になり、ユーザーをある程度の危険にさらす恐れがある。ただし攻撃者は、目標とするシステムと同じ LAN 上から攻撃を行なわなければならない。Secunia は対応策として、インターネット接続を共有するのに ICS 以外の方法を用いるよう勧めている。



■関連記事
IBM、「Web 2.0」型アプリケーション開発プラットフォーム発表
Microsoft、『Office Live』の正式提供開始日を明らかに
マイクロソフトにそっくり「Kingsoft Office 2007」、無償ダウンロード開始
Microsoft、非正規品のオークション販売業者を一斉提訴
Microsoft と Zend、『Windows』上の『PHP』運用性向上で協力

デイリーリサーチバックナンバー、コラム、セミナー情報等はこちらから
http://japan.internet.com/

デイリーでお届けする最新ITニュースメールの御購読申込はこちらから
http://japan.internet.com/mail/newsletters.html

（japan.internet.com） - 11月2日