RPC インターフェイスのバッファ オーバーランによりコードが実行される (823980) (MS03-026)

技術的な説明 :
マイクロソフトは、2003 年 7 月 17 日に Windows の リモート プロシージャ コール を使用する Distributed Component Object Model (DCOM) インターフェイスの脆弱性を修正するためのプログラムと最初のセキュリティ情報を公開しました。このセキュリティ情報のリリース後、マイクロソフトは、RPC に関連する別のポートにより、この脆弱性が悪用される可能性があることを確認しました。これらのポートに関する情報は、このセキュリティ情報の「問題を緩和する要素」および「よく寄せられる質問」の中の「回避策」の欄に記載されています。また、マイクロソフトは、セキュリティ情報 MS03-039 およびこのセキュリティ情報およびその中で提供された元のスキャン ツールの機能を含む更新版のスキャン ツールをリリースしました。

MS03-039 で提供されている更新版のスキャン ツールはマイクロソフト サポート技術情報 826369 で提供されていたツールを含みます。MS03-039 で提供されている更新プログラムをすでにインストールしたシステムでこのセキュリティ情報で提供されていた元のツールを使用した場合、元のツールはそのシステムが MS03-026 で提供されている更新プログラムをインストールしていないと不正確に報告します。弊社はマイクロソフト サポート技術情報 827363 で説明している最新のバージョンのツールを実行することを推奨します。

注意 : このツールは英語版ですが日本語環境でも使用することができます。ただし、ホスト名に日本語 (MBCS: Multi Byte Character Set) を使用することは出来ません。

リモート プロシージャ コール (英語情報) (RPC) は、Windows オペレーティング システムが使用するプロトコルです。RPC により、プロセス間通信のメカニズムが提供され、コンピュータ上で実行されているプログラムが、シームレスにリモート システム上のコードを実行することが可能になります。RPC 自体は Open Software Foundation (OSF) RPC プロトコルが元になっていますが、マイクロソフト特有の拡張機能がいくつか追加されています。

TCP/IP でメッセージの送受信を処理する RPC のある特定の箇所に脆弱性が存在します。不正なメッセージが不適切に処理されるためにこの問題が発生します。この特定の脆弱性により、RPC を使用する Distributed Component Object Model (DCOM) (英語情報) インターフェイスに影響が及びます。DCOM インターフェイスは、RPCが有効なポートをリッスンします。このインターフェイスは、クライアント コンピュータからサーバーに送信される DCOM オブジェクトのアクティブ化の要求を処理します。攻撃者によりこの脆弱性の悪用が成功した場合、影響受けるシステムの Local System 権限でコードが実行されます。攻撃者はこのシステムで、プログラムのインストール、表示の変更、データの削除、または、全アクセス権を持つ新規アカウントの作成を含めた、いかなる操作も行える可能性があります。

攻撃者がこの脆弱性を悪用するには、特別な形式のリクエストを特定の RPC ポート上のリモート コンピュータに送信することが必要条件となります。

問題を緩和する要素 :

深刻度 :

上記の評価はこの脆弱性の影響を受けるシステムの種類、システムの典型的な展開形式およびこの脆弱性がシステムに及ぼす影響に基づいています。

脆弱性識別番号 :
CAN-2003-0352

テストしたバージョン :
マイクロソフトは Windows Millennium Edition、Windows NT Server 4.0、Windows NT Workstation 4.0、Windows NT Server 4.0, Terminal Server Edition、Windows 2000、Windows XP および Windows Server 2003 のテストを行い、この脆弱性による影響を評価しました。それ以前のバージョンに関してはサポートの対象となっていないため、この脆弱性による影響は不明です。

なぜセキュリティ情報を更新したのですか？

このセキュリティ情報の公開後に、マイクロソフトは、 RPC を使用している他のポートで、この脆弱性が悪用されることが可能なことを知らされました。これらのポートに関する情報を、問題を緩和する要素と回避策に追加しました。

また、マイクロソフトは、セキュリティ情報MS03-039 およびこのセキュリティ情報 （MS03-026） およびその中で提供された元のスキャン ツールの機能を含む新たなスキャン ツールをリリースしました。そのため、このセキュリティ情報を更新し、新たな更新プログラムおよびスキャンツールのリリースに関してお知らせしました。

この更新プログラムは Windows 2000 Service Pack 2 でサポートされますか？

このセキュリティ更新プログラムは、Windows 2000 Service Pack 2 にインストールすることができます。しかし、マイクロソフト サポート ライフサイクル ポリシーに従い、このバージョンは現在サポートの対象となっておりません。また、このセキュリティ更新プログラムに関しては、Windows 2000 Service Pack 2 上では最低限のテストのみが行われています。Windows 2000 Service Pack 2 をご使用のお客様は、できるだけ早期にサポート対象の Service Pack にアップグレードすることを強く推奨します。マイクロソフト製品サポート サービスでは、この更新プログラムを Windows 2000 Service Pack 2 にインストールしたお客様が、この更新プログラムのインストールによって問題が発生した場合のサポートを提供しています。

この更新プログラムは Windows NT 4.0 Workstation でサポートされますか？

このセキュリティ更新プログラムは、Windows NT 4.0 Workstation Service Pack 6a にインストールすることができます。しかし、マイクロソフト サポート ライフサイクル ポリシーに従い、このバージョンは現在サポートの対象となっておりません。また、このセキュリティ更新プログラムに関しては、Windows NT 4.0 Workstation Service Pack 6a 上では最低限のテストのみが行われています。Windows NT 4.0 Workstation Service Pack 6a をご使用のお客様は、できるだけ早期にサポート対象のバージョンにアップグレードすることを強く推奨します。マイクロソフト製品サポート サービスでは、この更新プログラムを Windows NT 4.0 Workstation Service Pack 6a にインストールしたお客様が、この更新プログラムのインストールによって問題が発生した場合のサポートを提供しています。

MS03-026 の更新プログラムがインストールされていないシステムの存在をネットワーク内でスキャンするために使用するツールは利用可能ですか?

はい。マイクロソフトは MS03-026 の更新プログラム、または新たにリリースされた MS03-039 の更新プログラムがインストールされていないシステムの存在をネットワーク内でスキャンするために使用するツールをリリースしました。

注意 : このツールは英語版ですが日本語環境でも使用することができます。ただし、ホスト名に日本語 (MBCS: Multi Byte Character Set) を使用することは出来ません。

このツールに関する追加情報はマイクロソフト サポート技術情報 827363 をご覧ください。

以前に MS03-026 のスキャンツールをダウンロードしました。今回アップデートされたツールをダウンロードする必要がありますか?

はい。元のスキャン ツールにより、MS03-026 の更新プログラムがインストールされていないコンピュータが今でも適切にスキャンされます。しかし、マイクロソフトは、MS03-026 の更新プログラムの機能を含む MS03-039 をリリースしました。MS03-039 の更新プログラムをインストールした場合、最初のスキャン ツールでは確実な結果が得られなくなります。しかし、新たにリリースされたスキャン ツールは、この脆弱性の影響を受けるコンピュータを適切にスキャンし、MS03-039 がインストールされている場合でも、適切にスキャンが行われます。

どのようなことが起こる可能性がありますか?

これはバッファ オーバーランの脆弱性です。攻撃者はこの脆弱性を悪用し、リモート コンピュータを完全に制御する可能性があります。これにより、攻撃者はたとえば Web ページの変更、ハード ディスクの再フォーマット、新規のユーザーをローカル管理者グループに追加するなど、そのサーバー上で任意の操作を実行する可能性があります。

攻撃者がこのような攻撃を行うには、RPC サービスに不正なメッセージを送信できることが必要条件となります。その結果、攻撃者は標的となるコンピュータを異常終了させ、任意のコードを実行する可能性があります。

何が原因で起こりますか?

ある特定の状況下において、Windows RPCSS サービスで、メッセージの入力チェックが適切に行われないためにこの脆弱性が起こります。接続が確立された後、攻撃者が特別な細工をした不正な RPC メッセージを送信した場合、リモート コンピュータ上の基本となる Distributed Component Object Model (DCOM) (英語情報) プロセスが異常終了し、攻撃者の任意のコードが実行される可能性があります。

DCOM とは何ですか？

Distributed Component Object Model (DCOM) は、ソフトウェア コンポーネントがネットワーク上で直接通信することを可能にするプロトコルです。以前は "Network OLE," と呼ばれていた DCOM は、HTTP などのインターネット プロトコルを含む複数のネットワーク通信で使用するために設計されています。DCOM に関する詳細は、以下の Web サイトをご覧ください。
http://www.microsoft.com/com/default.mspx (英語情報)

リモートプロシージャコール (RPC) とは何ですか？

リモート プロシージャ コール (英語情報) (RPC) は、プログラムがネットワークの別のコンピュータ上のプログラムからのサービスを要求するために使用することができるプロトコルです。RPC を使用するプログラムは、通信をサポートするネットワーク プロトコルを認識する必要がないため、RPC により、相互運用性が得られます。RPCでは、要求を行うプログラムは、クライアントで、サービスを提供しているプログラムがサーバーとなります。

COM インターネットサービス (CIS) および RPC over HTTP とは何ですか?

RPC over HTTP - v1 (Windows NT 4.0、Windows 2000) および v2 (Windows XP、Windows Server 2003) により、RPC を TCP ポート 80 および 443 (v2 のみ) で操作することができる新たな RPC 転送プロトコルのサポートが提供されます。これにより、多くのプロキシ サーバーやファイアウォールの存在する環境で、クライアントとサーバーのコミュニケーションが可能になります。COM インターネット サービス (CIS) により、DCOM が RPC over HTTP を使用して、DCOM クライアントおよび DCOM サーバー間で通信できるようになります。

Windows Server 2003 の "RPC over HTTP " の詳細は、以下のサイトをご覧ください。http://msdn2.microsoft.com/en-us/library/Aa375384 (英語情報)

COM インターネット サービス (CIS と呼ばれることもあります) に関する詳細は、以下のサイトをご覧ください。http://msdn2.microsoft.com/en-us/library/ms809302.aspx （英語情報）

COM インターネットサービス (CIS) または RPC over HTTP がインストールされているかどうかは、どのように確認できますか？

サーバーに COM インターネット サービスまたは RPC over HTTP がインストールされているかを確認するには、以下の手順に従ってください。

RPCSS サービスの何が問題となっていますか?

DCOM のアクティブ化を処理する RPCSS サービスに問題が存在します。不正なメッセージが不適切に処理されるために問題が発生します。この問題により DCOM のアクティブ化に使用され、UDP ポート 135、137、138、445 および TCP 135、139、445、593 をリッスンする基本の RPCSS サービスに影響が及びます。また、RPCSS サービスは、CIS または RPC over HTTP が有効にされている場合、ポート 80 および 443 をリッスンします。

攻撃者は不正な RPC メッセージを送信することにより、コンピュータ上の RPCSSサービスを異常終了させ、任意のコードが実行される可能性があります。

これは RPC エンドポイントマッパーの問題ですか？

いいえ、違います。RPC エンドポイント マッパーは DCOM インフラストラクチャと RPCSS サービスを共有していますが、この問題は、実際には DCOM アクティブ化インフラストラクチャで起こります。RPC エンドポイント マッパーにより、RPC クライアントは特定の RPC サービスに割り当てられているポート番号を確認することができます。エンドポイントは、ホスト マシン上のサービスのプロトコル固有の識別子のことです。エンドポイントは、TCP または UDP などのようなプロトコルにとっては、ポートとなります。名前付きパイプにとっては、名前付きパイプの名前となります。ほかのプロトコルは、プロトコル固有のエンドポイントを使用します。

この脆弱性により攻撃者は何ができますか?

攻撃者はこの脆弱性を悪用し、影響を受けるシステム上で、ローカル システム権限でコードを実行する可能性があります。攻撃者はこれにより、そのコンピュータ上で、プログラムのインストール、データの表示、変更、削除、完全アクセス権限を持つ新規のアカウントの作成などの任意の操作を実行する可能性があります。

攻撃者は、どのようにこの脆弱性を悪用する可能性がありますか?

攻撃者は、影響を受けるTCP/UDP ポート からこれらの脆弱性の影響を受けるサーバーと通信するプログラムを作成し、ある特定の種類の不正な RPC メッセージを送信することにより、この脆弱性を悪用しようとする可能性があります。ユーザーがそのようなメッセージを受信した場合、この脆弱性の影響を受けるコンピュータ上の RPCSS サービスが異常終了し、任意のコードが実行される可能性があります。

また、攻撃者はコンピュータに対話的にログオンする、またはこの脆弱性の影響を受けるコンポーネントにパラメータをローカル、またはリモートで渡す、同様のアプリケーションを悪用するなど、別の方法で該当のコンポーネントにアクセスする可能性もあります。

誰がこの脆弱性を悪用する可能性がありますか?

この脆弱性の影響を受けるコンピュータで RPCSS サービスに不正な RPC メッセージを送信することができる場合、誰でもこの脆弱性を悪用する可能性があります。RPCSS サービスは既定で、Windows のすべてのバージョンで有効となっています。これは基本的に、影響を受けるコンピュータとの接続を確立できるユーザーは誰でもこの脆弱性を悪用する可能性があるということを意味します。

更新プログラムは何を修正しますか?

この更新プログラムは、DCOM の実装に渡される情報が適切にチェックされるように変更し、この脆弱性を修正します。

回避策
この更新プログラムのテスト、または評価中にこの脆弱性の悪用を防ぐための回避策はありますか?

はい、あります。マイクロソフトは、すべてのお客様にこの更新プログラムをできるだけ早期に適用するように強く推奨しています。しかし、当座の間、この脆弱性の悪用を防ぐために適用することができる回避策がいくつかあります。この回避策により、すべての潜在的な攻撃の方法を防ぐ保障はありません。

これらの回避策は、この脆弱性を解決するというよりも、攻撃の方法を単純に防ぐための一時的な方法であるとお考えください。

この問題に対する更新プログラムは MS04-012 で提供されている更新プログラムに含まれています。MS04-012 の問題も解決することができる MS04-012 の更新プログラムをご利用ください。

なお、この問題に対する日本語版更新プログラムは、次のサイトからダウンロードできます。

このマークの付いている更新プログラムは Microsoft Update からインストールすることもできます。

Microsoft Update の利用方法については以下のサイトを参照してください。

対象プラットフォーム :

•	Windows NT Server 4.0 および Windows NT Workstation 4.0 用の更新プログラムは Service Pack 6a を実行しているコンピュータにインストールすることができます。
•	Windows NT Server 4.0, Terminal Server Edition 用の更新プログラムは Service Pack 6 を実行しているコンピュータにインストールすることができます。
•	Windows 2000 用の更新プログラムは Windows 2000 Service Pack 2、Service Pack 3 および Service Pack 4 を実行しているコンピュータにインストールすることができます。
•	Windows XP 用の更新プログラムは Windows XP または Service Pack 1 を実行しているコンピュータにインストールすることができます。
•	Windows Server 2003用の更新プログラムは Windows Server 2003 を実行しているコンピュータにインストールすることができます。

この修正を含む予定のサービスパック :
この問題に対する更新プログラムは Windows 2000 Service Pack 5、Windows XP Service Pack 2、Windows Server 2003 Service Pack 1 に含まれる予定です。

再起動の必要性 :
あり

更新プログラムのアンインストール :
可

更新プログラムに含まれる過去の修正 :

•	Windows 2000 および Windows XP 用の更新プログラムはマイクロソフト セキュリティ情報 MS03-010 で提供されたWindows 2000 および Windows XP 用の更新プログラムを含みます。
•	この更新プログラムは、マイクロソフト セキュリティ情報 MS01-048 で提供された Microsoft Windows NT 4.0 用の更新プログラムを含みます。

更新プログラムが正しくインストールされたかどうか確認する方法 :

•	Windows NT Server 4.0 および Windows NT Workstation 4.0: この更新プログラムがコンピュータにインストールされたことを確認するためには、マイクロソフト サポート技術情報 823980 のファイル欄を参照し、すべてのファイルを確認して下さい。
•	Windows NT Server 4.0, Terminal Server Edition: この更新プログラムがコンピュータにインストールされたことを確認するためには、マイクロソフト サポート技術情報 823980 のファイル欄を参照し、コンピュータにすべてのファイルがあるかどうか確認してください。
•	Windows 2000: この更新プログラムがコンピュータにインストールされたことを確認するためには、コンピュータに次のレジストリ キーが作成されたことを確認して下さい。HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows 2000\SP5\KB823980 各ファイルを確認するためには、サポート技術情報 マイクロソフト サポート技術情報 823980 のファイル欄で、日付、時間そしてバージョン情報を参照して下さい。
•	Windows XP: • Windows XP SP1 にインストールした場合 この更新プログラムがコンピュータにインストールされたことを確認するためには、コンピュータに次のレジストリ キーが作成されたことを確認して下さい。HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows XP\SP2\KB823980 各ファイルを確認するためには、サポート技術情報 マイクロソフト サポート技術情報 823980 のファイル欄で、日付、時間そしてバージョン情報を参照して下さい。 • Windows XP にインストールした場合 この更新プログラムがコンピュータにインストールされたことを確認するためには、コンピュータに次のレジストリ キーが作成されたことを確認して下さい。HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows XP\SP1\KB823980 各ファイルを確認するためには、サポート技術情報 マイクロソフト サポート技術情報 823980 のファイル欄で、日付、時間そしてバージョン情報を参照して下さい。
•	Windows Server 2003: この更新プログラムがコンピュータにインストールされたことを確認するためには、コンピュータに次のレジストリ キーが作成されたことを確認して下さい。HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Window Server 2003\SP1\KB823980 各ファイルを確認するためには、サポート技術情報 マイクロソフト サポート技術情報 823980 のファイル欄で、日付、時間そしてバージョン情報を参照して下さい。

警告 :
なし

他のセキュリティ問題を解決する更新プログラムは以下のサイトから入手できます。 :

•	セキュリティ更新プログラムはマイクロソフト ダウンロード センターからダウンロードすることができます。「security_patch」 のキーワード探索によって容易に見つけることができます。
•	コンシューマ プラットフォーム用の更新プログラムは、Microsoft Update Web サイトからダウンロードできます。
•	本セキュリティ情報及び公開された更新プログラムは、TechNet CD サブスクリプションでも入手可能です。

更新プログラムについてのご質問は、マイクロソフト プロダクト サポート までご連絡ください。マイクロソフトでは、ご質問の内容が弊社製品の不具合が原因の場合、サポート料金はいただきません。それ以外の場合には、サポート料金を請求させていただきますのでご注意ください。
マイクロソフト プロダクト サポートへの連絡方法はこちらをご覧ください。

Top of section