Reportで配信されたセキュリティ情報のバックナンバーです。「更新日」に明記された時点での情報ですのでご注意ください。脆弱性による危険性を示す。「緊急適用」の場合、すでに攻撃コードが公開されているなど、脆弱性を悪用した攻撃が開始される可能性がある。「SP待ち」の場合、現時点では危険性がそれほど高くないため、サービスパックに反映されるまで待つことが可能であることを示す。OSが十分に行わないことに起因する2つの脆弱性が存在する。これらの脆弱性が悪用されると、任意のコードが実行されたり、システムが応答しなくなったりする。攻撃は、細工したWebページを用意し、そこにユーザーを誘導するか、細工したHTMLメールを送信し、ユーザーに開かせることで実行される。攻撃が実行された報告はないが、すでに実証コードが公開されているため危険性は高い。実証コードは、2004年12月23日に公開されていることから、悪用したワームなどが近いうちに登場することも懸念される。至急、修正プログラムの適用を行いたい。概要MS05-002の修正プログラムは、「カーソルおよびアイコンのフォーマットの処理の脆弱性」と「Windowsカーネルの脆弱性」の2つを解消する。2つの脆弱性は、どちらもカーソルやアニメーション・カーソル、アイコンがレンダリングされる前のフォーマット検証が十分に行われないことに起因するが、脆弱性はそれぞれ異なるモジュールに存在する。「カーソルおよびアイコンのフォーマットの処理の脆弱性」では、未チェック・バッファの脆弱性により、任意のコードが実行される危険性がある。脆弱性が悪用された場合、コンピュータの制御が完全に奪われる可能性もある。「Windowsカーネルの脆弱性」では、カーソルやアニメーション・カーソル、アイコンを定義したファイルを処理する方法に脆弱性が存在し、細工された定義ファイルを開くと、コンピュータの応答が完全に停止させられる。Labでは、以下のプラットフォームで修正プログラムの適用テストを行った。APIのバッファ・オーバーフローの脆弱性」と「ANIファイルの処理の脆弱性」を解消するものだ。Teamが公開した実証コードの実行を試したところ、修正プログラムの適用によって脆弱性が解消されていることを確認した。SP未適用は2004年9月30日にそれぞれサポート・ライフサイクルが終了したため、MS05-002の修正プログラムは提供されない。SP2ではMS05-002の脆弱性が解消されているので、SP2を適用した場合は今回の修正プログラムを適用する必要はない)。SP6aについては、脆弱性を解消する手段がないため、OS自体のバージョンアップが必要だ。4.0も2004年12月31日でサポート・ライフサイクルが終了しているが、マイクロソフトによれば修正プログラムの準備がほとんど終了していたため、今回は提供を行ったとしている。今後は提供されなくなる可能性が高いので、やはりOS自体のバージョンアップを検討していただきたい。98/98SE/Me向けにも修正プログラムが提供されている。Updateサイトのみの予定であり(ダウンロード・サイトでは提供されない)、本稿の執筆時点ではまだ公開されていない。TechNetセキュリティ情報の「よく寄せられる質問」によれば、「セキュリティ情報のリリース後、できるだけ早くリリースされる予定」としている。Updateの実行を徹底する必要がある。1.21で確認可能だ。(891711)」が表示される。......MS05-002の修正プログラムは以下の2つの脆弱性を解消する。APIにバッファ・オーバーフローの脆弱性が存在する。細工されたビットマップやアイコンなどの画像ファイル(.bmp/.cur/.ico/.ani)を開くと、ファイルに仕込まれた任意のコードが実行される危険性がある。Explorerで開くだけで攻撃が実行される。overflow):http://www.securityfocus.com/archive/1/385342■Windowsカーネルの脆弱性(ANIファイルの処理の脆弱性)WindowsカーネルがWindowsのアニメーション・カーソルの形状を定義するANIファイルを処理する方法に脆弱性が存在する。細工されたANIファイルを開くと、Windowsがハングアップする。Webページに貼られたANIファイルを開くだけで攻撃が実行される。......以下のファイルが修正プログラムによって更新される。障害の発生が懸念される場合は、これらのファイルのバックアップを取っておくとよい。......修正プログラムが正しく適用できたかどうかは、以下のレジストリ・キーにある値を調べることで確認できる。6.1で、今回の修正プログラムを適用するのにかかる時間を概算したもの。ネットワーク環境や適用するコンピュータの性能などによって適用時間は異なる。目安として利用してほしい。Reportは、UpdateEXPERTユーザー向けの情報を含んでいます。UpdateEXPERTは、管理者の負担を大幅に軽減するHotFix管理ツールです。UpdateEXPERTに関する詳細ならびにお問い合わせは、アップデートテクノロジー株式会社のホームページをご参照ください。Reportにご登録いただいておりますユーザー様にお送りしています。無断で複製・再配信などを行うことはできません。ついて、明示的又は黙示的な保証を行いません。本サービスの停止や欠陥、それらに起因して発生する損失や損害について、一切責任を負いません。