Reportで配信されたセキュリティ情報のバックナンバーです。「更新日」に明記された時点での情報ですのでご注意ください。修正プログラムの適用作業を至急、開始してください。Library(msasn1.dll)の実装方法に未チェック・バッファが存在するため、コンピュータ上のシステム特権を用いて任意のコードが実行される危険性があります。特権を持つ新しいアカウントの作成など、任意の操作が対象のコンピュータ上で実行される可能性があります。One)は、データの構造を定義するための表記法です。通信プロトコルのデータ構造を定義するのに使われており、例えばKerberosやNTLMv2、SSLなどのプロトコルで利用されています。Libraryを利用して、データ・タイプなどを記述しています。この脆弱性を持つコンピュータは、ネットワークに接続されているだけで攻撃を受ける危険性があります。サーバでは、ASN.1準拠のデータをデコードするためにmsasn1.dllを利用するサーバ・プロセスが多く実行されているため、危険性が高くなります。この脆弱性を悪用したワームの出現も予想されます。前述のとおり、ネットワークに接続され、常時稼働するサーバについては、至急、修正プログラムの適用作業を開始してください。対象プラットフォーム修正プログラムを適用するには、以下の対象プラットフォームに示されているサービスパックの適用が必要になります。2003は、UpdateEXPERTのサポート対象外です。Library(msasn1.dll)に未チェック・バッファの脆弱性が存在します。msasn1.dllは、LSASS.EXE(ローカル・セキュリティ権限)やCRYPT32.DLL(暗号化パッケージ)などが利用していることから、これらのモジュールを利用するアプリケーションも影響を受けることになります。ASN.1の脆弱性については、2003年9月にOpenSSLなど、さまざまなプログラムの実装に存在することが報告されています。この際、Windowsについても同様の脆弱性が存在することが明らかになっています。今回の修正プログラムでは、この脆弱性を含む修正が行われているものと思われます。キーワード)などは公開されていませんが、クラッカーによって修正プログラムが解析され、脆弱性を攻撃するようなワームが作成される危険性もあります。code」と呼びます。両者はまったく正反対の性格を持ちますが、セキュリティ・ホールを実証するために公開されたプログラムを改変することで、簡単にセキュリティ・ホールを悪用するためのプログラムが作れるようになるため、両者は表裏一体の関係といえます。Lab:HotFixテスティング・チームからのコメント修正プログラムは、UpdateEXPERTが管理対象とするすべての適用対象プラットフォームにおいて適用テストを通過しました。SE/Meは、MS04-007の修正プログラムの対象プラットフォームに含まれていません。SE/Meでもmsasn1.dllが利用されていることから、脆弱性が存在する可能性があります。この脆弱性を悪用するワームなどが登場した場合、感染の危険があります。残念ながら、この脆弱性に対する抜本的な対策はありません。XPへの移行をご検討ください。SP6a環境に対しては、MS03-041の修正プログラムにもmsasn1.dllが含まれていますが、そのバージョンはMS04-007の修正プログラムで置き換われるものよりもバージョンが古い(小さい)ものです。MS03-041は、そのほかのファイルも置き換えるため、MS04-007の修正プログラムにMS03-0041は含まれていません。MS03-041とMS04-007の両方を適用する必要があるわけです。MS04-007の適用後に、MS03-041の修正プログラムを適用しても、msasn1.dllが古いバージョン(MS03-041に含まれるもの)に戻ることはありません。以下のファイルにパッチが適用されます。障害の発生が懸念される場合は、これらのファイルのバックアップを取ってください。5.3.23.4319,072*WindowsXP-KB828028-x86-JPN.exeは、-xオプションで解凍可能です。5.4.1.0321,640*WindowsServer2003-KB828028-x86-JPN.exeは、-xオプションで解凍可能です。以下のレジストリ・キーが作成されていることを確認してください。2003\SP1\KB828028修正プログラム手動で修正プログラムをインストールする場合は、以下のダウンロード先のリストで[日本語]を選択してください。UpdateからMS04-007の修正プログラムを適用することもできます。1時間34分この表は、1コンソールのUpdateEXPERTで、今回の修正プログラムを適用するのにかかる時間を概算したものです。ネットワーク環境や適用するコンピュータの性能などによって適用時間は異なります。目安としてご利用ください。2003:現在、UpdateEXPERTのサポート対象外です。Updateなどを利用して適用を行ってください。Reportにご登録いただいておりますユーザー様にお送りしています。無断で複製・再配信などを行うことはできません。ついて、明示的又は黙示的な保証を行いません。本サービスの停止や欠陥、それらに起因して発生する損失や損害について、一切責任を負いません。