このページは、HotFix Reportで配信されたセキュリティ情報のバックナンバーです。「更新日」に明記された時点での情報ですのでご注意ください。ご購読の申し込みは「HotFix Report購読の申し込み」 をご参照ください。

トップページ サービスの詳細 セキュリティ情報 購読の申し込み
 
 
Windowsプラットフォーム向けHotFix情報サービス
HotFix Alert:2003/07/11日版

   
【登録日】2003/07/11
【更新日】2003/07/11
深刻度
1(緊急)
2(重要)
3(警告)
4(注意)
対策
早期適用
再起動の必要性
あり
対象環境
サーバ
クライアント
セキュリティ情報
MS03-025(日本)
MS03-025(US)
サポート技術情報
よく寄せられる質問
セキュリティ情報
fq03-025
アンインストール
含まれる過去の修正
なし
脆弱性識別番号
更新履歴
2003/07/10 セキュリティ情報ページを公開
MS03-025/822679
ユーザー補助のユーティリティ・マネージャがWindowsメッセージを処理する方法に脆弱性が存在するため、制御が取得されてしまう可能性
(ユーティリティ マネージャによる Windows メッセージ処理の問題により、権限が昇格する)
 

対応策
 修正プログラムの適用作業を早期に開始してください。
 
概要

 Windows 2000は、標準で拡大鏡やナレータ、オンスクリーン・キーボードなどのユーザー補助プログラムをサポートしています。これらのユーザー補助プログラムの状態をチェックし、それらを起動/停止できるようにするユーティリティとして、「ユーティリティ・マネージャ」が用意されています。このユーティリティ・マネージャがWindowsメッセージを処理する方法に脆弱性があります。

 攻撃者は、ユーティリティ・マネージャのプロセスに不正なWindowsメッセージを送るプログラムをユーザーのコンピュータで実行し、攻撃者が指定した操作を行わせる可能性があります。これにより、攻撃者がコンピュータの完全な制御を取得する可能性があります。また、この脆弱性を悪用することで、コンピュータの管理者権限などを取得する可能性があります。この場合、攻撃者は、コンピュータ上のデータの追加/削除/変更、ユーザー・アカウントの作成など、コンピュータで任意の操作を行えるようになります。

 この脆弱性を悪用するには、対話的なログオンが必要になりますが、ほかの脆弱性と併用することでシステムの制御が奪われる可能性がありますので、なるべく早期に修正プログラムの適用を行ってください。

 なおMS03-025の修正プログラムは、Windows 2000 Service Pack(SP) 4に含まれています。SP4を適用済みの場合は、この修正プログラムを適用する必要はありません。MS03-025の修正プログラムとWindows 2000 SP4に含まれるファイルは、ファイル・サイズ、バージョンともに同一のものです(更新日時は異なります)。

 
DA Lab:HotFixテスティング・チームからのコメント

 修正プログラムは、UpdateEXPERTが管理対象とするすべての適用対象プラットフォームにおいて適用テストを通過しました。

 
対象プラットフォーム
 修正プログラムを適用するには、以下の対象プラットフォームに示されているサービスパックの適用が必要になります。
影響を受けるソフトウェア 対象プラットフォーム
Windows 2000 Windows 2000 SP3
 
予想適用時間
修正プログラム名 50台 100台 250台 500台
Windows2000-KB822679-x86-JPN.exe
18分 27分 52分 1時間34分
この表は、1コンソールのUpdateEXPERTで、今回の修正プログラムを適用するのにかかる時間を概算したものです。ネットワーク環境や適用するコンピュータの性能などによって適用時間は異なります。あくまでも目安としてご利用ください。
 
UpdateEXPERT上の表示

・Windows 2000
 [展開ビュー]−[OS]タブに「名前:Windows2000-KB822679-x86-JPN.exe」で登録

 
脆弱性の内容

 ユーザー補助機能のユーティリティ・マネージャは、アクセシビリティ・オプションの一覧を提供するためにWindowsメッセージを利用します。このWindowsメッセージを適切に検証しないため、セキュリティ上の脆弱性が起こります。

 ユーティリティ・マネージャに対して、そのコンピュータで実行されている別のプロセスが特別に作成されたメッセージを送ることができます。ユーティリティ・マネージャのプロセスは、その別プロセスよりも高いアクセス許可で実行されるため、別プロセスはその高いアクセス許可を使用して処理が実行できます。

 
適用されるファイル情報
 以下のファイルにパッチが適用されます。障害の発生が懸念される場合は、これらのファイルのバックアップを取ってください。
 
・Windows 2000 SP3:
ファイル名 日付 バージョン サイズ
Windows2000-KB822679-x86-JPN.exe 2003/07/10 5.3.16.11
290,864
 
ファイル名 日付 バージョン サイズ 機能
展開ファイル %SystemRoot%\system32
Sp3res.dll 2003/05/21 5.0.2195.6713
315,904
Service Pack 3 Messages
Umandlg.dll 2003/06/02 1.0.0.3
27,920
UManDlg DLL
 
確認方法

 修正プログラムが正しく適用されたことを確認するには、UpdateEXPERT上で該当する修正プログラムの「インストール ステータス アイコン」がグレーから緑色に変わったことをご確認ください。「適用されるファイル情報」で示したファイルに置き換わっていることでも確認できます。また、各クライアント上で以下のレジストリ・キーが登録されていることでも確認できます。
 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows 2000\SP4\KB822679

[お詫び]HotFix Report配信時にWindows 2000のレジストリ・キーをQ822679とお知らせしましたが、KB822679の誤りでした。お詫びして訂正させていただきます。

 
修正プログラム

 手動で修正プログラムをインストールする場合は、以下のダウンロード先のリストで[日本語]を選択してください。
 
http://www.microsoft.com/downloads/details.aspx?FamilyId=D415A4AC-E13A-4E8A-BE25-85E7DF686F61&displaylang=ja

 また、MS03-024の修正プログラムは、Windows Updateからも適用可能です。

 
 
Copyright (C) Digital Advantage Corp.
このメールは、HotFix Reportにご登録いただいておりますユーザー様にお送りしています。
無断で複製・再配信などを行うことはできません。 このメールに関する問い合わせ先:info@hotfix.jp
HotFix Reportでは、細心の注意を払って情報提供を行っておりますが、本サービスにおける情報の正確性、最新性、適切性などについて、明示的又は黙示的な保証を行いません。また本サービスの停止や欠陥、それらに起因して発生する損失や損害について、一切責任を負いません。