MS03-025/822679 |
ユーザー補助のユーティリティ・マネージャがWindowsメッセージを処理する方法に脆弱性が存在するため、制御が取得されてしまう可能性 |
(ユーティリティ マネージャによる Windows メッセージ処理の問題により、権限が昇格する) |
|
|
対応策 |
修正プログラムの適用作業を早期に開始してください。 |
|
概要 |
Windows 2000は、標準で拡大鏡やナレータ、オンスクリーン・キーボードなどのユーザー補助プログラムをサポートしています。これらのユーザー補助プログラムの状態をチェックし、それらを起動/停止できるようにするユーティリティとして、「ユーティリティ・マネージャ」が用意されています。このユーティリティ・マネージャがWindowsメッセージを処理する方法に脆弱性があります。
攻撃者は、ユーティリティ・マネージャのプロセスに不正なWindowsメッセージを送るプログラムをユーザーのコンピュータで実行し、攻撃者が指定した操作を行わせる可能性があります。これにより、攻撃者がコンピュータの完全な制御を取得する可能性があります。また、この脆弱性を悪用することで、コンピュータの管理者権限などを取得する可能性があります。この場合、攻撃者は、コンピュータ上のデータの追加/削除/変更、ユーザー・アカウントの作成など、コンピュータで任意の操作を行えるようになります。
この脆弱性を悪用するには、対話的なログオンが必要になりますが、ほかの脆弱性と併用することでシステムの制御が奪われる可能性がありますので、なるべく早期に修正プログラムの適用を行ってください。
なおMS03-025の修正プログラムは、Windows 2000 Service Pack(SP) 4に含まれています。SP4を適用済みの場合は、この修正プログラムを適用する必要はありません。MS03-025の修正プログラムとWindows
2000 SP4に含まれるファイルは、ファイル・サイズ、バージョンともに同一のものです(更新日時は異なります)。
|
|
DA Lab:HotFixテスティング・チームからのコメント |
修正プログラムは、UpdateEXPERTが管理対象とするすべての適用対象プラットフォームにおいて適用テストを通過しました。
|
|
対象プラットフォーム |
修正プログラムを適用するには、以下の対象プラットフォームに示されているサービスパックの適用が必要になります。
影響を受けるソフトウェア |
対象プラットフォーム |
Windows 2000 |
Windows 2000 SP3 |
|
|
予想適用時間 |
修正プログラム名 |
50台 |
100台 |
250台 |
500台 |
Windows2000-KB822679-x86-JPN.exe
|
18分 |
27分 |
52分 |
1時間34分 |
この表は、1コンソールのUpdateEXPERTで、今回の修正プログラムを適用するのにかかる時間を概算したものです。ネットワーク環境や適用するコンピュータの性能などによって適用時間は異なります。あくまでも目安としてご利用ください。
|
|
UpdateEXPERT上の表示 |
・Windows 2000
[展開ビュー]−[OS]タブに「名前:Windows2000-KB822679-x86-JPN.exe」で登録
|
|
脆弱性の内容 |
ユーザー補助機能のユーティリティ・マネージャは、アクセシビリティ・オプションの一覧を提供するためにWindowsメッセージを利用します。このWindowsメッセージを適切に検証しないため、セキュリティ上の脆弱性が起こります。
ユーティリティ・マネージャに対して、そのコンピュータで実行されている別のプロセスが特別に作成されたメッセージを送ることができます。ユーティリティ・マネージャのプロセスは、その別プロセスよりも高いアクセス許可で実行されるため、別プロセスはその高いアクセス許可を使用して処理が実行できます。
|
|
適用されるファイル情報 |
以下のファイルにパッチが適用されます。障害の発生が懸念される場合は、これらのファイルのバックアップを取ってください。
・Windows 2000 SP3:
ファイル名 |
日付 |
バージョン |
サイズ |
Windows2000-KB822679-x86-JPN.exe |
2003/07/10 |
5.3.16.11 |
290,864
|
ファイル名 |
日付 |
バージョン |
サイズ |
機能 |
展開ファイル |
%SystemRoot%\system32 |
Sp3res.dll |
2003/05/21 |
5.0.2195.6713 |
315,904
|
Service Pack 3 Messages |
Umandlg.dll |
2003/06/02 |
1.0.0.3 |
27,920
|
UManDlg DLL |
|
|
確認方法 |
修正プログラムが正しく適用されたことを確認するには、UpdateEXPERT上で該当する修正プログラムの「インストール ステータス アイコン」がグレーから緑色に変わったことをご確認ください。「適用されるファイル情報」で示したファイルに置き換わっていることでも確認できます。また、各クライアント上で以下のレジストリ・キーが登録されていることでも確認できます。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows 2000\SP4\KB822679
[お詫び]HotFix Report配信時にWindows
2000のレジストリ・キーをQ822679とお知らせしましたが、KB822679の誤りでした。お詫びして訂正させていただきます。
|
|
修正プログラム |
手動で修正プログラムをインストールする場合は、以下のダウンロード先のリストで[日本語]を選択してください。
http://www.microsoft.com/downloads/details.aspx?FamilyId=D415A4AC-E13A-4E8A-BE25-85E7DF686F61&displaylang=ja
また、MS03-024の修正プログラムは、Windows
Updateからも適用可能です。
|
|