［世界］
Windows ServerとLonghornに未パッチの深刻な脆弱性

攻撃者が不正なRPCパケットをサーバに送信

（2007年04月16日）

　米国マイクロソフトは4月13日、同社の既存サーバOSで最近明らかになった未パッチの脆弱性が、Longhorn Serverのベータ版コードにも存在することを認めた。

　同社広報担当者は13日に配信した電子メールの中で、「Longhorn Serverも影響を受けるのは確かだ」としている。

　12日遅くに発表されたセキュリティ速報によると、Windows 2000 Server（SP4）とWindows Server 2003（SP1、SP2）に含まれるDNS Server Serviceの未パッチの脆弱性を攻撃者が悪用し、不正なRPC（Remote Procedure Call）パケットをサーバに送信しているという。

　マイクロソフトは未パッチの脆弱性の深刻度の評価を明らかにしていないが、ほとんどのセキュリティ企業や団体が、この脆弱性の深刻度を、それぞれの基準で最も重大かそれに近いレベルにあると判定している。

　例えば、デンマークの脆弱性調査会社セキュニアは、「Highly Critical」（きわめて重大）、イーアイ・デジタル・セキュリティは「Critical」（重大）と評価している。

　イーアイの速報には、「リモート管理のためのRPC機能を利用して、攻撃者は匿名でスタック・ベースのバッファ・オーバーフローを発生させることができる。このコードはSYSTEMコンテキストで実行されるため、システムが完全に乗っ取られる危険がある」と記されている。

　ちなみにRPCは、Windowsがネットワーク内のほかのマシン上のアプリケーションにサービスを呼び出す際に使用される。

　マイクロソフトのセキュリティ速報では、Longhorn Serverは今回の脆弱性の影響を受けるOSに含まれていなかった。これについて、同社広報担当者は、「マイクロソフトは通常、リリースしていない製品や技術の脆弱性については、公式説明を行わない」と弁明している。

　DNS Server Serviceの未パッチの脆弱性は、マイクロソフトが新OSに再利用している既存コードの不具合を、解消しきれていないことを示しており、こうした問題が表面化するのはここ2週間で今回が3度目となる。

　最近、Windows Vistaのアニメーション・カーソルのレンダリングと、エラーメッセージ処理の各脆弱性が明らかになっているが、これらも旧バージョンのOSに存在するものだ。

　クオリスのリサーチ・ラボのマネジャー、アモル・サーワット氏は、「Longhorn Serverはまだテスト段階にあり、今回の問題を解決するための時間が残されている。重要なのは、Longhornのベータ版ではなく正式版に既存コードのバグが紛れ込まないよう、ソフトウェア開発ライフサイクル（SDL：Software Development Lifecycle）を有効に機能させることだ」と述べている。

　そのうえで同氏は、「マイクロソフトはLonghornのテストの過程で、今回の脆弱性を発見すべきだった。テスト・プロセスはSDLの一部なのだから」と指摘している。

　SDLは、マイクロソフトが安全なコードの作成を目的に、VistaとLonghorn Serverの設計および開発プロセスに採用した施策だ。

　マイクロソフトは、DNS Server Serviceの未パッチの脆弱性に関するセキュリティ速報で、この脆弱性が悪用されるのを防ぐためのいくつかの方法を推奨しているが、パッチの配布日は明らかにしていない。だが同社は、「この脆弱性に対応するWindowsセキュリティ更新プログラムを完成させつつある」と説明している。

　サーワット氏はこのパッチが、月例セキュリティ更新プログラムの次の公開日である5月8日より前にリリースされると見ている。「マイクロソフトは、この脆弱性を悪用するコードがいくつか登場し、限定的な攻撃が発生していると認めているからだ」

　Longhorn Serverは6月末までにベータ3がリリースされる見通しだが、マイクロソフトは、同OS向けにもパッチを提供することを示唆している。同社広報担当者は、「Longhorn Serverのベータ版に関する正式なサポートは提供されていないが、マイクロソフトは、このベータ版の利用顧客に影響する問題に対応する更新プログラムを、必要に応じて提供する」と述べた。

　DNS Server Serviceの未パッチの脆弱性は、1週間前、SANSインスティチュートのインターネット・ストーム・センターが同サービスなどのWindowsコンポーネントを狙った攻撃コードについて報告したことで発覚した。

(グレッグ・カイザー／Computerworld オンライン米国版)