どのようなことが起こる可能性がありますか?
Windows Me および Plus! 98 （Windows 98 と Windows 98 Second Edition のアドオン パッケージ） ではフォルダが圧縮された後、そのフォルダをパスワードで保護するためのオプション機能を提供します。この脆弱性はこれらのフォルダを保護するために使用されたパスワードを漏えいします。攻撃者が該当するマシンにあるパスワードで保護されたフォルダにアクセスした場合、この脆弱性を利用してそのフォルダの読み取りや変更ができます。
明らかに、パスワードはシステムで利用可能であってはいけません。しかし、この問題を正しく理解することが重要です。ここで問題となっているパスワードはパスワードで保護された圧縮ファイルだけに関わります。ユーザーのログオン時のパスワードとは関係ありません。また、パスワード保護機能はアクセス制御の仕組みとして動作するようには設計されていません。これは単にサード パーティによる製品のパスワード メカニズムとの互換性のために提供されています。この更新プログラムを適用した後でも、このパスワード保護機能は単に何気ないのぞき見に対する保護を提供します。強力なアクセス制御など、強固なセキュリティを必要とするお客様は Windows 2000 を使用して下さい。
何が原因で起こりますか?
Windows Me および Plus! 98 はデータ圧縮機能を提供しており、これにより圧縮フォルダをパスワードで保護することができます。しかし、特定の状況において、パスワードはユーザーのシステムのファイルに記録されます。
Plus! 98 とは何ですか?
Plus! 98 は Windows 98 および Windows 98 Second Edition に追加機能を提供するオプション パッケージです。ここで問題となっているデータ圧縮機能に加え、ウィルス検索、ディスク クリーニング機能、ゲームなど、その他の機能を提供します。
データ圧縮機能とは何ですか? またパスワード保護がどのように関わっているのですか?
Plus! 98 と Windows Millenium は圧縮フォルダと呼ばれる機能を持ち、ディスク容量を節約する方法としてフォルダやファイルを圧縮します。圧縮フォルダ機能はいくつかのサード パーティのユーティリティと同じアルゴリズムを使用します。しかし、サード パーティのツールよりもさらに便利です。ユーザーはプロパティ ページでフォルダを圧縮するかどうかを選択することができます。
この機能により、圧縮フォルダをパスワードで保護することができますが、ここに脆弱性が存在しています。仕様上、パスワードは記録されるべきものではありません。しかし、現実には、パスワードはユーザーのシステム上のファイルに記録されます。
攻撃者はどのようにこの脆弱性を利用しますか?
攻撃者がマシンに物理的なアクセスを持つ場合、パスワードを読み取り、そのシステム上にあるパスワードで保護された圧縮フォルダにアクセスすることができます。
このパスワードにより、攻撃者はネットワークにログオンできますか?
ここで問題となっているパスワードは圧縮フォルダ機能だけに使用されます。このパスワードはネットワーク ログオン パスワード等の他のパスワードとは全く別のものです。ユーザーはこのパスワード用に任意の値を選択することができます。しかし、複数の箇所で同一のパスワードを使用することはセキュリティ上避けるべきです。
この脆弱性の深刻性はどの程度ですか?
システム上にパスワードが保存されることは明らかにセキュリティ上の脆弱性ですが、パスワード保護機能は本来強固なセキュリティを提供するものではありません。これは単に何気ないのぞき見に対し、ファイルのコンテンツを保護するものです。仕様上、Windows 98 と Me はアクセス制御の仕組みを提供しません。そしてこの機能はアクセス制御の仕組みとして機能することを意図されていません。強固なアクセス制御を必要としているお客様は Windows NT® または Windows 2000 をご使用ください。
このオプションが強固なセキュリティの提供を意図していないのであれば、なぜ提供されているのですか?
圧縮フォルダ機能の主な仕様上の目的は、主なサード パーティ製圧縮ツールとの相互運用性でした。この目的を達成するために、互換性のある圧縮とパスワードのアルゴリズムを使用して、サード パーティ製圧縮ツールと同じ機能を実装することにしました。
Plus! 98 をインストールしていませんが、Windows 98 を使用しています。この脆弱性の影響を受けますか?
いいえ、受けません。データ圧縮機能は Windows 98 と Windows 98 Second Edition には含まれていません。これらの製品を使用しているお客様はシステムに Plus! 98 パッケージをインストールしている場合だけ、この影響を受けます。
Windows 95 を使用していますが、この脆弱性の影響を受けますか?
いいえ、受けません。圧縮フォルダ機能は Windows 95 には含まれていません。
Plus! 95 はこの脆弱性の影響を受けますか?
いいえ、受けません。データ圧縮機能は Windows 95 と Plus! 95 には同梱されていません。
Windows 95 ユーザーは Plus! 98 をインストールすることができますか?
いいえ、できません。Plus! 98 は Windows 98 または Windows 98SE を動作しているシステムにのみインストールできます。
だれが更新プログラムを適用する必要がありますか?
マイクロソフトは Windows Me または Plus! 98 を使用し、かつ圧縮フォルダにパスワード保護機能を使用しているお客様に、この更新プログラムを適用することを推奨します。
更新プログラムは何を修正しますか?
この更新プログラムはパスワードがディスクに書き込まれないようにして、この脆弱性を排除します。
この更新プログラムを適用した後、何か必要なことはありますか?
はい、あります。更新プログラムを適用すれば今後、パスワードがシステムに保存されることはありませんが、過去に保存されたパスワードを削除する必要があります。削除する方法は Windows エクスプローラを使用して c:\windows\dynazip.log ファイルを削除して下さい。
