ルーティングとリモート・アクセス・サービス（RRAS）に未チェック・バッファの脆弱性が存在し、細工されたメッセージを受信すると、コードが実行される危険性がある。またローカルで実行されるプログラムによって、影響を受けるコンポーネントにパラメータを渡すことでも、攻撃が可能である。インターネット経由での攻撃が可能なことから、脆弱性がワームやウイルスに悪用された場合、Blasterワームのように広範囲に被害が発生することが懸念される。

　Windows 2000 SP4では、脆弱性の影響を受ける「Remote Access Connection Managerサービス」がデフォルトで開始されており、特に注意が必要だ。Windows XP SP1／SP1aは、インターネット接続共有（ICS）を有効するなどによって「Remote Access Connection Managerサービス」が開始されている場合、脆弱性の影響を受ける。これらのWindows OSでは、匿名ユーザーによる攻撃を受ける可能性があり危険だ。一方、Windows XP SP2とWindows Server 2003は、「Remote Access Connection Managerサービス」が開始されていても、匿名でない何らかのアカウントでログオンできることが攻撃の必要条件となるため、Windows 2000 SP4やWindows XP SP1に比べて危険性は低い。

　マイクロソフトによれば、MS06-025の脆弱性は非公開で報告されたとしており、攻撃例は現在のところ確認されていないという。しかし、実証コードについてはすでに侵入テストを行うベンダが顧客に提供し始めた、と報じられている。

・The SANS Institute（Exploits for most recent Microsoft Patches）：
http://isc.sans.org/diary.php?storyid=1415

　この脆弱性が悪用された場合、インターネットからの匿名攻撃が可能であることから被害が広がる可能性がある。ファイアウォールなどを用いずにインターネットに直接接続しているコンピュータは、攻撃を受ける危険性が高い。至急、修正プログラムを適用した方がよい。

　RRASは、ネットワークのルーティング機能や、遠隔地との接続、すなわちリモート・アクセスの機能を提供するためのサービスである。このRRASに「RRASメモリの破損の脆弱性（深刻度：緊急　CVE：CVE-2006-2370）」と「RASMANレジストリの破損の脆弱性（深刻度：緊急　CVE：CVE-2006-2371）」の2種類の脆弱性が存在する。どちらも、RRASの未チェック・バッファに起因する脆弱性である。詳細は不明だが、この未チェック・バッファはRRASにおいてRPCの要求を処理する過程に存在するようだ。

　なお「RASMANレジストリの破損の脆弱性」を報告したNGSSoftwareは、同社の規定により、2006年9月13日にこの脆弱性に関する詳細な技術情報を公開するとしている。技術情報が公開されると、攻撃コードの開発は容易になってしまうので、悪用される危険性が高まることになる。

■適用テストの結果
　DA Labでは、以下のプラットフォームで修正プログラムの適用テストを行った。

■MBSA 2.0の結果
　MS06-025の修正プログラムが正しく適用されているかどうかは、MBSA 2.0で確認可能である。未適用の場合は、「Windowsのセキュリティの更新プログラム」の「結果の詳細情報」に以下のいずれかが表示される。

• Windows 2000 用セキュリティ更新プログラム (KB911280)
• Windows XP 用セキュリティ更新プログラム (KB911280)
• Windows Server 2003 用セキュリティ更新プログラム (KB911280)

　修正プログラムが正しく適用できたかどうかは、以下のレジストリ・キーにある値を調べることで確認できる。

・Windows 2000 SP4：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows 2000\SP5\KB911280\Filelist以下のファイル一覧を確認する

・Windows XP SP1／SP1a／SP2：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows XP\SP3\KB911280\Filelist以下のファイル一覧を確認する

・Windows Server 2003 SP未適用／SP1：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows Server 2003\SP2\KB911280\Filelist以下のファイル一覧を確認する

　何らかの理由で直ちに修正プログラムを適用できない場合には、以下に示す方法で回避が可能だ。ただしこの回避策は、脆弱性を根本的に解決するものではない。

■Remote Access Connection Managerサービスを無効にする
　脆弱性があるRemote Access Connection Managerサービスを無効にすることで、攻撃を回避可能だ。Remote Access Connection Managerサービスは、以下の操作で無効にできる。

1. ［管理ツール］−［サービス］を開く。
2. ［サービス］ダイアログの「名前」から「Remote Access Connection Manager」を探し、ダブルクリックする。
3. ［Remote Access Connection Managerのプロパティ］ダイアログの「スタートアップの種類」の一覧を「無効」に変更する。
4. ［停止］ボタンと［OK］バタンをクリックして設定を反映する。

　これによりRemote Access Connection Managerサービスが停止する。Remote Access Connection Managerサービスを停止させると、LANまたはWAN環境で別のホストへのルーティング・サービスやVPN接続などのリモート・アクセスが提供できなくなる。特に、何らかのソフトウェアによってRemote Access Connection Managerサービスが使用中の場合、停止させようとするとエラーメッセージが表示されて失敗するので注意が必要だ。

・Windows 2000 SP4：
［展開ビュー］−［OS］タブに「名前：Windows2000-KB911280-x86-JPN.EXE」で登録

・Windows XP SP1／SP1a／SP2：
［展開ビュー］−［OS］タブに「名前：WindowsXP-KB911280-x86-JPN.exe」で登録

・Windows Server 2003 SP未適用／SP1：
［展開ビュー］−［OS］タブに「名前：WindowsServer2003-KB911280-x86-JPN.exe」で登録