Reportで配信されたセキュリティ情報のバックナンバーです。「更新日」に明記された時点での情報ですのでご注意ください。2004年10月27日RealPlayerとQuickTimeに任意のコードが実行可能となる脆弱性が存在することが、Bugtraqなどのセキュリティ関連の掲示板に報告された。Computerは、修正プログラムの提供を開始している。Ukai氏によって、2004年10月27日付でBugtraqに報告されている。Ukai氏が発見したものと同じと思われる。Inc.、セキュリティ脆弱性に対応するアップデートをリリース):http://service.real.com/help/faq/security/041026_player/JA/脆弱性の対象となるのは、以下のRealPlayerのバージョンで、スキン・ファイル(拡張子.rjs)を細工することでバッファ・オーバーフローが発生し、任意のコードが実行可能になる危険性がある。脆弱性は、RealPlayerに含まれる圧縮ライブラリのDUNZIP32.DLLに存在し、非常に長いファイル名を持つ.rjsファイルを含むZIPファイルを開くと、バッファ・オーバーフローが発生する(スキン・ファイルは、.iniファイルと画像ファイルなどがZIPフォーマットで圧縮された形式で提供されている)。これにより、任意のコードが実行されてしまう危険性がある。(6.0.12.1056)ではこの脆弱性の影響を受けないことが明らかになっている。至急、修正プログラムを適用するか、最新版へのアップグレードを行った方がよい。修正プログラムの入手・更新の方法は、前述のリアルネットワークスのページに記されている。Heasman氏によって2004年10月27日付でBugtraqに報告されている。6.5.2より前のバージョンに2種類の脆弱性が存在する。Heasman氏が報告したWindows向けQuickTimeの脆弱性で、細工したHTMLページの表示によって任意のコードが実行可能になるというものだ。1つは、Windows向けとMacOS向けに存在し、BMP形式の画像処理方法に脆弱性があり、画像内に仕込まれた任意のコードの実行される危険性があるというものである。6.5.2では、これらの脆弱性が解消されている。6.5.2へのアップグレードを行った方がよい。QuickTimeは以下のページからダウンロードできる。SP1にURLを偽装可能にする脆弱性が存在することを、Bugtraqへの投稿で明らかにした。SP2)でもURLを偽装可能にする脆弱性があることを報告している。Franz氏の報告によれば、下記のようなリンクをHTMLに記述することで、ステータス・バーに「http://www.microsoft.com/」を表示させて、「http://www.google.com/」にジャンプさせることが可能であるとしている。SP2でURLが偽装可能であることを確認した。Releaseでは、ステータス・バーにはジャンプ先となる「http://www.google.com/」が表示されることを確認した。HREF="http://www.google.com/">に対する</A>タグが記述されていないため、これをHTML的に正しく、以下のように記述した場合でも試してみた(HTMLエディタであるDreamweaverでは、このHTMLも文法的に正しくないと判断された)。SP2では、ステータス・バーとジャンプ先ともに「http://www.google.com/」)。Releaseでは、ステータス・バーの表示とジャンプ先の両方が「http://www.microsoft.com/」に変わった(URLは偽装できていない)。(1)では、リンクをタブや別ウィンドウで開いても、ステータス・バーに表示される「http://www.google.com/」が開いたが、(2)ではステータス・バーに表示される「http://www.microsoft.com/」ではなく「http://www.google.com/」が開いてしまった。このことからFirefoxでも、URLが偽装される危険性があることが分かる。SP2でもURLの偽装が可能であるという。下記のようなHTMLを記述することで、ステータス・バーに「http://www.microsoft.com/」を表示させて、「http://www.google.com/」にジャンプさせることが可能であるとしている。SP2でURLが偽装可能であることを確認した。Releaseでは、ステータス・バーにはジャンプ先となる「http://www.microsoft.com/」が表示されることを確認した(タブと別ウィンドウでも「http://www.microsoft.com/」が開く)。このURLの偽装については、Firefoxは対策済みであることが分かる。以前からもURLを偽装する手段は、数多く公開されている。URLが偽装されることで、個人情報を窃取したり、悪意のあるプログラムを実行したりするようなページへ誘導される危険性がある。安易にリンクをクリックしないのはもちろんのこと、怪しいWebサイトを訪問しないことが重要だ。現在のところ、これらの脆弱性に対するマイクロソフトからの報告はなく、修正プログラムも提供されていない。2004の[連絡先情報]ビューでドラッグ・アンド・ドロップができなくなる不具合が起きることを明らかにした。2004では、連絡先情報の一覧で連絡先をクリックし、[連絡先情報]ナビゲーション・ウィンドウのグループへドラッグすることで、連絡先がグループに追加可能となっていた。MS04-038の修正プログラムを適用すると、ドラッグ・アンド・ドロップ・イベントを検証する方法が変更されることから、その副作用としてドラッグ・アンド・ドロップによる連絡先の追加が行えなくなる。同様の現象は、ドラッグ・アンド・ドロップによるオブジェクトの追加などをサポートするほかのアプリケーションでも発生する可能性がある。業務アプリケーションの仕様などをもう1度確認した方がよいだろう。現在のところ、マイクロソフトからこの不具合を解消する修正プログラムは提供されていない。メンバの追加と削除]を利用して連絡先を追加することで解決できるとしている。2000向け修正プログラムの提供を開始した。XP向けの修正プログラムは提供済みである。2000/XPともに解消されたことになる。XPでアプリケーションを終了させた直後に、別のウィンドウがしばらく応答を停止する不具合があることを明らかにした。この不具合は、アプリケーションのウィンドウを閉じて終了させた直後に、2秒以内に別のウィンドウを操作しようとしても、応答しない場合があるというものだ。マイクロソフトによれば、この不具合が発生した場合でも、2秒経過すると、復帰し、操作が可能になるとしている。この現象は、言語バーをデスクトップ上に表示させている場合にのみ発生することが明らかになっていることから、言語バーをタスク・バーに格納することで回避可能だ。現在のところ、マイクロソフトから修正プログラムは提供されていない。マイクロソフト・サイト更新情報(テスト運用中):http://www.hotfix.jp/msupdate/mssite/index.htmlUpdateEXPERTは、管理者の負担を大幅に軽減するHotFix管理ツールです。Reportは、UpdateEXPERTユーザー向けの情報を含んでいます。UpdateEXPERTに関する詳細ならびにお問い合わせは、アップデートテクノロジー株式会社のホームページをご参照ください。Reportにご登録いただいておりますユーザー様にお送りしています。無断で複製・再配信などを行うことはできません。ついて、明示的又は黙示的な保証を行いません。本サービスの停止や欠陥、それらに起因して発生する損失や損害について、一切責任を負いません。