|
MSN Messengerは、インターネットやイントラネットを介して、複数の人とのチャット（文字ベースの会話）やビデオ・チャット（テレビ電話）、ファイル交換などを実現するコミュニケーション・ソフトウェアです。MSN
Messengerの情報ページから無償でダウンロード可能です。
・マイクロソフト MSN Messengerの情報ページ：
http://messenger.msn.co.jp/Default.aspx
MSN Messengerがファイル・リクエストを処理する方法に脆弱性があるため、攻撃者によって細工されたリクエストを受信すると、ユーザーのコンピュータのハードディスクにあるファイルが攻撃者のコンピュータ上に表示される危険性があります。この際、ユーザーは、攻撃者によってファイルが読み出されていることは分かりません。読み出されるファイルは、ハードディスク中の場所を攻撃者が知っているものに限定されますが、Internet
ExplorerのCookie情報など、場所が推測可能なものが読み出される可能性があります。
今回の脆弱性に対する攻撃を受けるのは、MSN Messengerの［許可するメンバ］に攻撃者が登録されている場合に限られます。通常、［許可するメンバ］には、ユーザーが明示的に相手を追加する必要があります。現在のメンバの状態は、［ツール］−［オプション］メニューから表示されるダイアログの［プライバシー］タブで確認できます。
従って、通常は知人のみがアクセスを許可されており、その中に攻撃者が含まれないかぎり攻撃は受けません。しかしMSN Messengerは、デフォルトで匿名ユーザーからの接続要求を許容する設定になっています。そして接続要求を受けると、確認用ダイアログが表示されます。このとき、うっかり接続を許可してしまうと、そのユーザーが［許可するメンバ］に登録されてしまい、攻撃の可能性を与えてしまうので注意が必要です。このような事故を防ぐには、［禁止するメンバ］に［ほかのユーザー］を追加します。
なお前述したとおり、Windows XPに同梱されている同様の機能を持つインスタント・メッセージング・プログラム「Windows Messenger」では、ファイル・リクエストの検証方法が異なるため、今回の脆弱性は存在しません。
|
