このページは、HotFix Reportで配信されたセキュリティ情報のバックナンバーです。「更新日」に明記された時点での情報ですのでご注意ください。ご購読の申し込みは「HotFix Report購読の申し込み」 をご参照ください。

トップページ サービスの詳細 セキュリティ情報 購読の申し込み
 
 
Windowsプラットフォーム向けHotFix情報サービス
HotFix Alert:2003/07/25日版

   
【登録日】2003/07/25
【更新日】2003/07/28
深刻度
1(緊急)
  2(重要)
  3(警告)
  4(注意)
対策
至急適用
再起動の必要性
あり
対象環境
サーバ
クライアント
セキュリティ情報
MS03-030(日本)
MS03-030(US)
サポート技術情報
よく寄せられる質問
セキュリティ情報
fq03-030
アンインストール

(DirectX 9.0bは不可)
含まれる過去の修正
なし
脆弱性識別番号
更新履歴
2003/07/24 セキュリティ情報ページを公開
MS03-030/819696
DirectXの未チェック・バッファの脆弱性により、不正なプログラムが実行される可能性
(DirectX の未チェックのバッファにより、コンピュータが侵害される)
 

対応策
 至急、修正プログラムの適用作業を開始してください。
 
概要

 Windowsのマルチメディア用APIを提供するソフトウェア・パッケージのDirectXに含まれるDirectShowに未チェック・バッファが存在します。DirectShowは、Windows環境において音声や映像の再生などに利用されています。今回の脆弱性は、DirectShowがオーディオ・ファイルの一種であるMIDIファイルを処理する際にパラメータを適正にチェックしないために発生します。

 攻撃者は、この脆弱性を利用した特殊なMIDIファイルを作成し、それをWebサイト上に配置したり(Webサイトを訪れるだけでMIDIファイルを自動的に演奏させることも可能)、ネットワーク・ファイル共有に保存したり、電子メールに添付してユーザーに送信したりすることで攻撃を実行する可能性があります。攻撃が成功した場合、DirectShowまたはDirectShowを利用しているアプリケーションが強制終了したり、ログオン・ユーザーの権限によりコード(プログラムならびにスクリプト)が実行されたりします。場合によっては、ハードディスクのフォーマットなどが実行されるなど、システムが破壊される危険があります。

 今回脆弱性が明らかになったのは、DirectX 5.2以降のすべてのバージョンです。ただし、マイクロソフトのTechNetセキュリティ情報によれば、DirectX 8.0/8.1b/9.0はテスト対象となっていないため、脆弱性の有無も明らかではありません。

 DirectXは、OSとは別にバージョン・アップできたり、ソフトウェアに添付されたりしているため、OSの初期状態とは異なるバージョンがインストールされている可能性があります。システムにインストールされているDirectXのバージョンを調べるためには、[スタート]−[ファイル名を指定して実行]で「dxdiag」と入力し、DirectX診断ツールを起動してください。「システム情報」の「DirectXバージョン」で確認できます。DirectXのバージョンに合わせて、適切な修正プログラムをインストールしてください。また、Windows NT 4.0に関しては、Windows Media Player 6.4またはInternet Explorer 6 Service Pack 1をインストールしている場合、この脆弱性が存在します。ただし、Windows NT Workstation 4.0に対しては、サポート期間が終了しているため、修正プログラムの対象になっていません。

 なお、DirectX 5.2/6.1/8.0/8.1b、Windows 2000+DierctX 8.1に対応した修正プログラムは提供されていません。これらのバージョンを利用している場合は、脆弱性を対策済みである最新のDirectX 9.0bをインストールしてください。 ただし、DirectX 9.0bはWindows NT Server 4.0にインストールすることはできません。

 
DA Lab:HotFixテスティング・チームからのコメント

 修正プログラムは、UpdateEXPERTが管理対象とするすべての適用対象プラットフォームにおいて適用テストを通過しました

 Windows 2000 Service Pack 4(SP4)には、DirectX 7.0(Windows 2000のオリジナル・バージョン)に対応した修正プログラムがすでに適用されています。ただし、MS03-030の修正プログラムが置き換えるファイル(Quartz.dll)のバージョンは、SP4に含まれるものと異なっています。MS03-030では、6.1.9.729であるのに対し、SP4では6.1.9.728となっています。SP4に対しては、MS03-030の修正プログラムは適用できません。最新のバージョンにする場合は、SP4の適用前にMS03-030の修正プログラムを適用し、SP4のインストールを行う必要があります。 また、DirectX 8.1もしくはDirectX 9.0/9.0aをインストール済みの場合は、SP4を適用していてもMS03-030の脆弱性が存在するため、対応する修正プログラムの適用が必要です。

 
追加情報(2003/09/03)
MS03-030の修正プログラムとWindows 2000 SP4に含まれるファイルのバージョンについて

 7月25日に配信したHotFix Reportにおいて、Windows 2000 SP4に含まれる「Quartz.dll(MS03-030の修正プログラムで置き換えられるファイル)」のバージョンが「6.1.9.728」であり、MS03-030のDirectX 7.0/7.0a用修正プログラムで置き換えられるファイルのバージョン「6.1.9.729」とは異なっていると報告しました(Windows 2000 SP4では、MS03-030の脆弱性は解消されています)。その後の追加調査の結果、Windows 2000 SP3とWindows 2000 SP4 に含まれるQuartz.dllとファイルのバージョンならびにサイズが同じであることが分かりました。ただし、バイナリを比較した結果、SP3とSP4のQuartz.dllは異なるものでした。

 このようにQuartz.dllについては、バージョンだけでは最新かどうかを判別できません。Quartz.dllが最新版かどうか(MS03-030の修正が加えられたものかどうか)を判別するには、バージョンだけでなく、ファイルのプロパティの更新日時も合わせてご確認ください。ちなみに、Windows 2000 SP4に含まれるQuartz.dllの更新日時は「2003年6月19日」、Windows 2000 SP3は「2002年7月22日」となります。

 
対象プラットフォーム
 修正プログラムを適用するには、以下の対象プラットフォームに示されているサービスパックの適用が必要になります。
影響を受けるソフトウェア 対象プラットフォーム
DirectX 5.2 Windows 98/98SE/Me+DirectX 5.2
DirectX 6.1 Windows 98/98SE/Me+DirectX 6.1
DirectX 7.0 Windows 98/98SE/Me/2000 SP3+DirectX 7.0
DirectX 7.0a Windows Me+DirectX 7.0a
DirectX 8.1 Windows 98/98SE/Me/2000 SP3/2000 SP4/XP/Windows Server 2003+DirectX 8.1
DirectX 9.0/9.0a Windows 98/98SE/Me/2000 SP3/2000 SP4/XP/Windows Server 2003+DirectX 9.0/9.0a
(注意)Windows 98/98SE/Me/NT 4.0, Terminal Server Editionは、UpdateEXPERTのサポート対象外です。また、Windows Server 2003は現在のところ対応していません。
[訂正]7月25日のHotFix Report配信時の対象プラットフォームに誤りがありました。正しくは上表のとおりです。
 
予想適用時間
修正プログラム名 50台 100台 250台 500台
Windows2000-KB819696-x86-JPN.exe
(Windows 2000+DirectX 7.0)
18分 27分 52分 1時間34分
Q819696_WXP_SP2_x86_JPN.exe
(Windows XP SP未適用/SP1/1a+DirectX 8.1)
18分 27分 52分 1時間34分
WindowsServer2003-KB819696-x86-JPN.exe
(Windows Server 2003+DirectX 8.1)
18分 27分 52分 1時間34分
DirectX9-KB819696-x86-JPN.exe
(DirectX 9.0/9.0a)
18分 27分 52分 1時間34分
JPNQ819696i.EXE
(Windows NT Server 4.0)
18分 27分 52分 1時間34分
この表は、1コンソールのUpdateEXPERTで、今回の修正プログラムを適用するのにかかる時間を概算したものです。ネットワーク環境や適用するコンピュータの性能などによって適用時間は異なります。あくまでも目安としてご利用ください。
 
UpdateEXPERT上の表示

・Windows 2000 SP3+DirectX 7.0:
 [展開ビュー]−[OS]タブに「名前:Windows2000-KB819696-x86-JPN.exe」で登録

・Windows XP SP未適用/SP1/1a+DirectX 8.1:
 [展開ビュー]−[OS]タブに「名前:Q819696_WXP_SP2_x86_JPN.exe」で登録

・Windows Server 2003+DirectX 8.1:
 [展開ビュー]−[OS]タブに「名前:WindowsServer2003-KB819696-x86-JPN.exe」で登録

・DirectX 9.0/9.0a:
 [展開ビュー]−[OS]タブに「名前:DirectX9-KB819696-x86-JPN.exe」で登録

・Windows NT Server 4.0 SP6a:
 [展開ビュー]−[OS]タブに「名前:JPNQ819696i.EXE」で登録

 
適用されるファイル情報
 以下のファイルにパッチが適用されます。障害の発生が懸念される場合は、これらのファイルのバックアップを取ってください。
 
・Windows 2000 SP3+DirectX 7.0:
ファイル名 日付 バージョン サイズ
Windows2000-KB819696-x86-JPN.exe 2003/07/05 5.3.16.5
542,768
 
ファイル名 日付 バージョン サイズ 機能
展開ファイル %SystemRoot%\system32
Quartz.dll 2003/07/03 6.1.9.729
791,312
DirectShow Runtime.
 
・Windows XP SP未適用/SP1/1a+DirectX 8.1:
ファイル名 日付 バージョン サイズ
Q819696_WXP_SP2_x86_JPN.exe 2003/05/14 5.3.18.1
819,488
 
ファイル名 日付 バージョン サイズ 機能

展開ファイル(SP未適用)

%SystemRoot%\system32
Quartz.dll 2003/05/13 6.4.2600.113
1,123,840
DirectShow Runtime.
展開ファイル(SP1/1a) %SystemRoot%\system32
Quartz.dll 2003/05/13 6.4.2600.1221
1,132,032
DirectShow Runtime.
 
・Windows Server 2003+DirectX 8.1:
ファイル名 日付 バージョン サイズ
WindowsServer2003-KB819696-x86-JPN.exe 2003/05/14 5.3.17.9
859,424
 
ファイル名 日付 バージョン サイズ 機能

展開ファイル(RTMGDR)

%SystemRoot%\system32
Quartz.dll 2003/05/13 6.4.3790.9
1,105,408
DirectShow Runtime.
展開ファイル(RTMQFE) %SystemRoot%\system32
Quartz.dll 2003/05/13 6.4.3790.9
1,161,728
DirectShow Runtime.
 
・すべてのWindows+DirectX 9.0/9.0a:
ファイル名 日付 バージョン サイズ
DirectX9-KB819696-x86-JPN.exe 2003/07/20 6.0.2600.0
860,232
 
ファイル名 日付 バージョン サイズ 機能

展開ファイル(Windows 98/98SE/Me)

%SystemRoot%\system32
Quartz.dll 2003/05/30 6.5.1.902
1,116,672
DirectShow Runtime.
展開ファイル(Windows 2000) %SystemRoot%\system32
Quartz.dll 2003/05/30 6.5.1.902
1,233,920
DirectShow Runtime.
展開ファイル(Windows XP/Windows Server 2003) %SystemRoot%\system32
Quartz.dll 2003/05/30 6.5.1.902
1,233,920
DirectShow Runtime.
 
・Windows NT Server 4.0 SP6a:
ファイル名 日付 バージョン サイズ
JPNQ819696i.EXE 2003/07/09 1.12.112.0
527,440
 
ファイル名 日付 バージョン サイズ 機能
展開ファイル %SystemRoot%\system32
Quartz.dll 2003/07/08 6.1.5.132
762,128
DirectShow Runtime.
 
・Windows NT Server 4.0, Terminal Server Edition SP6:
ファイル名 日付 バージョン サイズ
JPNQ819696i.EXE 2003/07/09 1.12.112.0
527,952
 
ファイル名 日付 バージョン サイズ 機能
展開ファイル %SystemRoot%\system32
Quartz.dll 2003/07/08 6.1.5.132
762,128
DirectShow Runtime.
 
確認方法

修正プログラムが正しく適用されたことを確認するには、UpdateEXPERT上で該当する修正プログラムの「インストール ステータス アイコン」がグレーから緑色に変わったことをご確認ください。また、各コンピュータ上で以下のレジストリ・キーが登録されていることでも確認できます。

・Windows 2000 SP3+DirectX 7.0:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows 2000\SP5\KB819696

・Windows XP SP未適用+DirectX 8.1:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows XP\SP1\Q819696

・Windows XP SP1/1a+DirectX 8.1:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows XP\SP2\Q819696

・Windows Server 2003+DirectX 8.1:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows Server 2003\SP1\KB819696

・DirectX 9.0/9.0a:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\DirectX\dx819696

・DirectX 9.0b:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\DirectX\Versionの値が4.90.00.0902

・Windows NT Server 4.0 SP6a:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Hotfix\Q819696

・Windows NT Server 4.0, Terminal Server Edition SP6:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Hotfix\Q819696

 
修正プログラム

 手動で修正プログラムをインストールする場合は、以下のダウンロード先のリストで[日本語]を選択してください。
 
・Windows 2000 SP3+DirectX 7.0:
http://www.microsoft.com/downloads/details.aspx?FamilyId=7D0E4787-A993-4C49-A5A7-9A6DE8EFDB9E&displaylang=ja

・Windows XP SP未適用/SP1/1a+DirectX 8.1:
http://www.microsoft.com/downloads/details.aspx?FamilyId=5ABA6A3B-F67B-4B18-B4B5-62E69A0104CE&displaylang=ja

・Windows Server 2003+DirectX 8.1:
http://www.microsoft.com/downloads/details.aspx?FamilyId=A5156FF8-1812-4DB4-9175-BF9CA370279D&displaylang=ja

・DirectX 9.0/9.0a:
http://www.microsoft.com/downloads/details.aspx?FamilyId=22F990CB-E9F9-4670-8B4F-AC4F6F66C3A2&displaylang=ja

・DirectX 9.0b:
http://www.microsoft.com/downloads/details.aspx?displaylang=ja&FamilyID=141D5F9E-07C1-462A-BAEF-5EAB5C851CF5

・Windows NT Server 4.0 SP6a:
http://www.microsoft.com/downloads/details.aspx?FamilyId=B42C5BCB-6D36-437D-A07E-053B72B1C652&displaylang=ja

・Windows NT Server 4.0, Terminal Server Edition SP6:
http://www.microsoft.com/downloads/details.aspx?FamilyId=14290AD7-EE7D-4736-8322-BCA4CBD7D7C5&displaylang=ja

 MS03-030の修正プログラムは、Windows NT 4.0, Terminal Server Editionを除き、Windows Updateからも適用可能です。

 
 
Copyright (C) Digital Advantage Corp.
このメールは、HotFix Reportにご登録いただいておりますユーザー様にお送りしています。
無断で複製・再配信などを行うことはできません。 このメールに関する問い合わせ先:info@hotfix.jp
HotFix Reportでは、細心の注意を払って情報提供を行っておりますが、本サービスにおける情報の正確性、最新性、適切性などについて、明示的又は黙示的な保証を行いません。また本サービスの停止や欠陥、それらに起因して発生する損失や損害について、一切責任を負いません。