■MS05-048の脆弱性を悪用するJavaScriptが仕掛けられたWebサイトを発見
　Trend Microは、MS05-048の脆弱性を悪用するJavaScriptが埋め込まれたWebサイトが見つかったことを報告した。このJavaScriptをMS05-048の脆弱性を悪用し、「CHM_DROPPER.CN」と呼ばれるCHMファイルを実行し、トロイの木馬などのダウンロードを仕掛ける、といった一連の攻撃が実行されるということだ。

・Trend Micro（JS_WONKA.B）：
http://www.trendmicro.com/vinfo/virusencyclo/default5.asp?
VName=JS_WONKA.B

・Trend Micro（CHM_DROPPER.CN）：
http://www.trendmicro.com/vinfo/virusencyclo/default5.asp?
VName=CHM_DROPPER.CN

　Trend Microによれば、以下の2つのWebサイトで脆弱性を悪用するJavaScriptを発見したとしている。有名なWebサイトであっても、改ざんなどによってJavaScriptが仕掛けられる危険があるので注意が必要だ。実際に攻撃が開始されているので、至急、修正プログラムを適用した方がよい。

・HotFix Alert MS05-048（Collaboration Data Objects（CDO）の未チェック・バッファの脆弱性により、リモートで任意のコードが実行される危険性）：
http://www.hotfix.jp/archives/alert/2005/ms05-048.html

・TechNetセキュリティ情報 MS05-048（Microsoft Collaboration Data Objects の脆弱性により、リモートでコードが実行される）：
http://www.microsoft.com/japan/technet/security/bulletin/ms05-048.mspx

■MS05-039の脆弱性を悪用するMocbotを検出
　F-SecureとMcAfeeは、MS05-039の脆弱性を悪用するBot「Mocbot」を検出したことを報告した。Mocbotは、当初、MS05-047の脆弱性を悪用するものであるとされていたが、同じくプラグ・アンド・プイレイ・サービスの脆弱性であるMS05-039を悪用するものと両社の情報が更新された。これは、攻撃コードが類似していたためとしている。

・F-Secure（F-Secure Virus Descriptions : Mocbot.A）：
http://www.f-secure.com/v-descs/mocbot.shtml

・McAfee（IRC-Mocbot）：
http://vil.nai.com/vil/content/v_136637.htm

　Mocbotは、攻撃用パケットを送信することで、Windows 2000／XPのプラグ・アンド・プレイ・サービスの脆弱性を悪用し、脆弱性の存在するコンピュータに感染する。その後、IRCサーバに接続し、攻撃者の命令を待ち、指示に従ってDoS攻撃を仕掛けたり、ほかのコンピュータへの感染を広げたりする。今後、さらに攻撃性を高めた亜種などの登場も懸念される。至急、修正プログラムを適用した方がよい。

・HotFix Alert MS05-039（プラグ・アンド・プレイ・サービスの未チェック・バッファの脆弱性により、リモートで任意のコードが実行される危険性）：
http://www.hotfix.jp/archives/alert/2005/ms05-039.html

・TechNetセキュリティ情報 MS05-039（プラグ アンド プレイ の脆弱性により、リモートでコードが実行され、特権の昇格が行なわれる）：
http://www.microsoft.com/japan/technet/security/bulletin/ms05-039.mspx

関連HotFix Report BBS関連スレッド：
・MS05-048［重要］：Microsoft Collaboration Data Objects の脆弱性により、リモートでコードが実行される
http://bbs.hotfix.jp/ShowPost.aspx?PostID=4150#4150

・MS05-047攻撃コード検証
http://bbs.hotfix.jp/ShowPost.aspx?PostID=4171

　日立製作所は、クライアントPCにMS05-052の修正プログラムを適用すると、同社の端末エミュレータ「CommuniNet Object Server」にオンライン端末や環境設定が正しく動作しなくなる不具合が発生することを報告している。

・日立製作所（Windowsセキュリティパッチ(MS05-052)適用環境におけるCommuniNet Object Serverの障害）：
http://www.hitachi-support.com/security/alert/communinet.html

　CommuniNet Object Serverは、Webブラウザ上からメインフレームへのオンライン接続を実現するサーバ配信型の端末エミュレータ。MS05-052の修正プログラムを適用すると、Webブラウザ上でオンライン端末が起動しなかったり、各端末情報の設定ダイアログが表示されなかったりするようになる、としている。

　日立製作所では、回避策として以下の方法を紹介している。

1. クライアントPCのInternet Explorerのプロパティの［セキュリティ］タブで、「信頼済みサイト」にCommuniNet Object ServerのWebサイトを「次のWebサイトをゾーンに追加する」で追加する。
2. サーバをCommuniNet Object Server 02-06へバージョンアップする。

　現在のところ、これ以外のMS05-052の適用による不具合は報告されていないが、Webアプリケーションなどでは同様の不具合が発生する可能性もある。事前に動作検証が必要だろう。

関連HotFix Report BBS関連スレッド：
・MS05-052［緊急］：Internet Explorer 用の累積的なセキュリティ更新プログラム
http://bbs.hotfix.jp/ShowPost.aspx?PostID=4131#4131

　マイクロソフトは、「TechNetセキュリティ情報：MS05-050」を更新し、Windows 2000 SP4にMS05-050の修正プログラムを適用する際の注意を追加掲載した。

・TechNetセキュリティ情報 MS05-050（DirectShow の脆弱性により、リモートでコードが実行される）：
http://www.microsoft.com/japan/technet/security/bulletin/ms05-050.mspx

　MS05-050は、インストールされているDirectXのバージョンにより、Windows 2000 SP4向けに3種類の修正プログラムが提供されている。内訳は、Windows 2000のデフォルト状態となるDirectX 7.0との組み合わせ、Windows 2000 SP4＋DirectX 8.0／8.0a／8.1／8.1a／8.1b／8.2、Windows 2000 SP4＋DirectX 9.0／9.0a／9.0b／9.0cの3種類。Windows Update／Microsoft Updateでは、自動的にインストールされているDirectXのバージョンが検出され、該当する修正プログラムが適用される。しかしダウンロード・センターなどから手動で入手した場合、インストールされているDirectXと合致しない修正プログラムを適用しても、一見正常に終了してしまう、という不具合がある。実際には、脆弱性の対象となるファイル「quartz.dll」は置き換わらず、依然として脆弱性が存在したままとなる。

　各DirectXに対してMS05-050の修正プログラムが更新するquartz.dllのバージョンは以下のようになっている（quartz.dllは%SystemRoot%\system32フォルダに保存されている）。修正プログラムが正しく適用できているかどうかは、このファイルのバージョンで確認可能だ。不安がある場合は、ファイル・バージョンを確認するとよい。またWindows Update／Microsoft Updateを実行することでも、正しく適用できているかどうかの確認ができる。「Windows 2000 用セキュリティ更新プログラム (KB904706)」「Windows 2000 用 DirectX 8 のセキュリティ更新プログラム (KB904706)」「Windows 2000 用 DirectX 9 のセキュリティ更新プログラム (KB904706)」のいずれも表示されなければ正しく適用できている。

・サポート技術情報 909596（DirectX 8 または DirectX 9 を実行する Windows 2000 ベースのコンピュータに "Windows 2000 上の DirectX 7.0 用のセキュリティ更新プログラム (KB904706)" をインストールした後、コンピュータが更新されない場合がある）：
http://support.microsoft.com/default.aspx?scid=kb;ja;909596

関連HotFix Report BBS関連スレッド：
・MS05-050［緊急］：DirectShow の脆弱性により、リモートでコードが実行される
http://bbs.hotfix.jp/ShowPost.aspx?PostID=4071