Windows 2000にセキュリティホール

CNET Japanの記事より:

　Windows 2000のコアコンポーネントに深刻な欠陥が発見されたが、修正パッチが出されるまでこれを回避する方法はないと、あるセキュリティベンダーが発表した。

　eEye Digital SecurityのMarc Maiffret（同社ハッキング担当最高責任者）は米国時間3日、この脆弱性により攻撃者がIPアドレスを使ってリモートからPCに侵入するおそれがあることを明らかにした。同氏は、この欠陥を悪用すれば、コンピュータのユーザーが何も操作しなくても、ワームを使った攻撃が簡単に仕掛けられると指摘している。

これは、かなりのユーザに影響が出そうです。枝葉ではなく"コア"コンポーネントなので、無効化する事は不可能との事です。

　同氏によると、このセキュリティホールで特に問題なのは、回避策が見あたらない点だという。「この（脆弱な）コンポーネントは常時有効になっており、無効にもできず、アンインストールすることもできない」（Maiffret）

つまり、Microsoftがパッチを出して修正しない限り、脆弱性は改善されないという事のようです。ただ、eEye Digital Securityは、それ以上の詳しい情報を出していませんので、どのコンポーネントが悪いのかは不明です。

同社は会社の方針により、当該ソフトウェアのメーカーがパッチもしくは勧告を公開するまでは脆弱性の技術的詳細を明らかにしていない。

まぁ、回避法が無い以上、公開すれば新たなワームの蔓延という事態も考えられるので、これはやむを得ないでしょう。ただ、eEyeに発見できたという事は、他のクラッカーにも発見できる可能性がある訳で、これで安全とは言い難いのも事実です。

とりあえず、Win2Kユーザは出来る限りの防護策（アンチ・ウイルスの導入、ファイアーウォール等でのアクセス制限等）を講じてパッチを待つしかない状況のようです。企業等では、Win2KはLAN内のみアクセス可能に制限して、外部ネットワークと切り離すというのも考えられますが（これでも、飛び火する場合はあるでしょうが）、こういう処置を採れない場合もありますので、管理者は大変かも。

で、Microsoftは何と言ってるかというと、

　Microsoftの関係者は、同社がeEyeの勧告に慎重に目を通した上でコメントするとしている。eEyeのウェブサイトにはまだ勧告は出ていない。

まさか「これで、XPに乗り換えてくれるユーザが増えたらいいな。」とは考えていないと思いますが（ありそうに感じてしまうのが、MSのMSらしい所ですが…）、あまりノンビリ構えていると、大きな批判を受けることになるではないでしょうか。前にも書きましたが、Win2Kのサポートは2010年までと御自分で明言されたのですから、その責務は果たしてくださいね。何にしても、こういう場合は「迅速に対応する」かどうかで、その企業の評価を分けるのものです。しかも、

　この脆弱性はWindows 2000に影響するものだが、Maiffretによると、eEyeは現在もテストを続けており、MicrosoftのほかのOSにもこの脆弱性が見つかる可能性があるという。

Win2KとWinXPのコア・コンポーネントが大きく違うとも思えないので、WinXPにも影響が出るかもしれません。下手をすると、WinVista(Longhorn)β版にも波及する可能性もあったりして（笑）。

この他、eEyeは、IEの脆弱性も報告しているようです。こっちの方は、最悪でも「IEは使わない」という回避法があるので、危機回避は可能ではありますが。