このページは、HotFix Reportで配信されたセキュリティ情報のバックナンバーです。「更新日」に明記された時点での情報ですのでご注意ください。ご購読の申し込みは「HotFix Report購読の申し込み」 をご参照ください。

トップページ サービスの詳細 セキュリティ情報 購読の申し込み
 
 
Windowsプラットフォーム向けHotFix情報サービス
HotFix Alert:2004/10/16日版

 
【登録日】2004/10/16
【更新日】2004/10/16
詳細
HFR BBS会議室
 
深刻度
  1(緊急)
2(重要)
  3(警告)
  4(注意)
攻撃コードの有無
なし
対策
早期適用
再起動の必要性
必要
アンインストール
対象環境
サーバ
クライアント
セキュリティ情報
MS04-029(日本)
MS04-029(US)
サポート技術情報
よく寄せられる質問
セキュリティ情報
fq04-029
含まれる過去の修正
脆弱性識別番号
MS04-029/873350
RPCランタイム・ライブラリの未チェック・バッファの脆弱性により、情報漏えいやサービス拒否が起こる危険性
(RPC ランタイム ライブラリの脆弱性により、情報漏えいおよびサービス拒否が起こる)

緊急対応度:適用作業の早期開始

危険性 脆弱性による危険性を示す。「緊急適用」の場合、すでに攻撃コードが公開されているなど、脆弱性を悪用した攻撃が開始される可能性がある。「SP待ち」の場合、現時点では危険性がそれほど高くないため、サービスパックに反映されるまで待つことが可能であることを示す。
                 
SP待ち
 
早期適用
 
緊急適用

 Windows NT 4.0のRPC(リモート・プロシージャ・コール)ランタイム・ライブラリが、メッセージを処理する方法に未チェック・バッファの脆弱性が存在し、攻撃によってメモリの一部が読み取られる情報漏えいやコンピュータの応答が停止するサービス拒否が発生する。リモート・プログラムは実行できないようなので、ワームなどに悪用される危険性は低いと思われる。ただし、RPCはデフォルトで有効になっているため、すべてのWindows NT 4.0が脆弱性の対象となる。特にWindows NT 4.0でWebサイトを構築し、外部に公開しているような場合は、リモートによるDoS攻撃が仕掛けられる危険性がある。

 マイクロソフトによれば、MS04-029の脆弱性は非公開で報告されたとしており、実証コードや攻撃例は確認されていないという。ただし、最近では脆弱性が公開されると、1カ月程度で実証コードや悪用した攻撃が現れるので注意が必要だ。RPCランタイムの脆弱性は、リモートでの攻撃が可能なため、インターネットで公開しているサーバなどは、なるべく早く修正プログラムを適用していただきたい。

 

概要

 RPCランタイム・ライブラリは、Windows NT 4.0/2000/XP/Server 2003にデフォルトでインストールされている。しかし、MS04-029の脆弱性が存在するのはWindows NT 4.0のみである。

 RPCは、遠隔地にあるコンピュータ上で実行されるプログラムが、ネットワークを介して別のコンピュータ上のサービスにシームレスにアクセスすることを可能にする相互プロセス通信プロトコルである。RPCにより、複数のコンピュータを使った分散処理が可能になる。

 細工したメッセージをRPCサーバが処理する際に、未チェック・バッファに起因する情報の漏えいやサービス拒否が起きる。脆弱性を発見したBindView社のBugtraqへの投稿によれば、RPCサーバのアドレス空間からメモリ内容を取得することが可能だとしている。サーバの状態によっては、管理者のパスワードのハッシュ値などが読み出される危険性もある。なおBindView社は、技術的な詳細については30日間は公開しないとしている。

・Bugtraq(BindView Advisory: Memory Leak and DoS in NT4 RPC server):
http://www.securityfocus.com/archive/1/378277

 

対象プラットフォーム

影響を受けるソフトウェア 対象プラットフォーム
Windows NT 4.0 Windows NT Server 4.0 SP6a
[お詫びと訂正]HotFix Alert配信時に対象プラットフォームが誤っていました。お詫びして、上記のように訂正させていただきます。
 
‥‥‥ DA Lab:HotFixテスティング・チームからのコメント ‥‥‥

■適用テストの結果
 DA Labでは、以下のプラットフォームで修正プログラムの適用テストを行った。

プラットフォーム
適用テスト結果
Windows NT Server 4.0 SP6a

■MS04-012の修正プログラムは別途適用が必要
 RPCランタイムの脆弱性については、「TechNetセキュリティ情報:MS04-012」でも指摘されている。ただしMS04-012のRPCランタイムの脆弱性は、Windows 2000/XP/Server 2003が対象であり、Windows NT 4.0は脆弱性の影響がないとされていた(MS04-012では、RPCランタイムの脆弱性以外も修正するため、Windows NT 4.0も適用対象になっている)。MS04-012とMS04-029の修正プログラムで置き換わるファイルのバージョンを比較したところ、以下のように共通するものが含まれていた。ただし、MS04-029の修正プログラムは、MS04-012を完全には含んでいないため、別途適用する必要がある。

含まれるファイル MS04-012 MS04-029
ole32.dll 4.0.1381.7263 4.0.1381.7263
rpcproxy.dll 4.0.1381.7255 含まれない
rpcrt4.dll 4.0.1381.7230 4.0.1381.7303
rpcss.exe 4.0.1381.7263 4.0.1381.7263

・HotFix Alert MS04-012(RPC/DCOMの脆弱性により、任意のコードが実行させられる危険性):
http://www.hotfix.jp/archives/alert/2004/ms04-012.html

・TechNetセキュリティ情報 MS04-012(Microsoft RPC/DCOM 用の累積的な修正プログラム):
http://www.microsoft.com/japan/technet/security/bulletin/ms04-012.asp

■Windows NT Workstation 4.0 SP6a向け修正プログラムは提供されない
 TechNetセキュリティ情報によれば、Windows NT Workstation 4.0 SP6aにも脆弱性が存在する。しかしWindows NT Workstation 4.0 SP6aは、2004年6月30日でサポート・ライフサイクルが終了したため、MS04-029の修正プログラムは提供されない。Windows NT Workstation 4.0 SP6aについては、ファイアウォールでRPCポートに関連するポートをブロックすることで脆弱性の緩和が可能だ。しかし、完全に脆弱性を解消する手段ではないため、危険性は残る。OS自体のバージョンアップが必要だ。

■MBSA 1.21の結果
 MS04-029の修正プログラムが正しく適用されているかどうかは、MBSA 1.21で確認可能だ。未適用の場合は、「Windows のセキュリティの更新」の「結果の詳細情報」に、「VulnerabiliRPC ランタイム ライブラリの脆弱性により、情報漏えいおよびサービス拒否が起こる (873350)ty in RPC Runtime Library Could Allow Information Disclosure and Denial of Service (873350)」が表示される。MBSAのデータベースに誤りがあるようだ。本来は、「RPC ランタイム ライブラリの脆弱性により、情報漏えいおよびサービス拒否が起こる (873350)」と表示される(近日中に修正されると思われる)。

 
‥‥‥ 修正プログラムのダウンロード先 ‥‥‥
プラットフォーム ダウンロード・センター Windows Update/SUSの表示
Windows NT Server 4.0 SP6a
Windows NT Server 4.0 Terminal Server Edition, SP6
 
‥‥‥ 適用されるファイル情報 ‥‥‥
 以下のファイルにパッチが適用される。障害の発生が懸念される場合は、これらのファイルのバックアップを取っておくとよい。
 
Windows NT Server 4.0 SP6a:
ファイル名 日付 バージョン サイズ
WindowsNT4Server-KB873350-x86-JPN.exe 2004/08/19 5.4.15.0
614,544
 
ファイル名 日付 バージョン サイズ 機能
展開フォルダ %SystemRoot%\System32\
ole32.dll 2004/02/27 4.0.1381.7263
768,288
Microsoft OLE for Windows and Windows NT
rpcrt4.dll 2004/08/13 4.0.1381.7303
374,400
Remote Procedure Call Runtime
rpcss.exe 2004/02/27 4.0.1381.7263
130,112
Distribute COM Services
 
Windows NT Server 4.0, Terminal Server Edition SP6:
ファイル名 日付 バージョン サイズ
WindowsNT4TerminalServer-KB873350-x86-JPN.exe 2004/09/13 5.4.15.0
614,968
 
ファイル名 日付 バージョン サイズ 機能
展開フォルダ %SystemRoot%\System32\
ole32.dll 2004/02/27 4.0.1381.39779
768,800
Microsoft OLE for Windows and Windows NT
rpcrt4.dll 2004/07/28 4.0.1381.39794
376,016
Remote Procedure Call Runtime
rpcss.exe 2004/02/27 4.0.1381.39779
132,224
Distribute COM Services
 
‥‥‥ 確認方法 ‥‥‥

 修正プログラムが正しく適用できたかどうかは、以下のレジストリ・キーにある値を調べることで確認できる。

・Windows NT Server 4.0 SP6a/Terminal Server Edition, SP6:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Hotfix\KB873350のInstalled(DWORD値)が「1」であることを確認

 
‥‥‥ 参考情報 ‥‥‥

 何らかの理由から直ちに修正プログラムを適用できない場合には、以下に示す方法で脆弱性の回避が可能だ。ただしこの回避策は、脆弱性を根本的に解決するものではない。

・ファイアウォールでポートをブロックする
 RPCとの接続を開始するために利用されるUDPポート135/137/138/445とTCPポート135/139/389/445/593の送受信をブロックする。また、1024を越えるポートで、受信者側が送信を要求していないすべてのトラフィックをブロックするように設定することで攻撃の影響を軽減可能だ。

 

予想適用時間

修正プログラム名 50台 100台 250台 500台
WindowsNT4Server-KB873350-x86-JPN.exe
(Windows NT Server 4.0 SP6a)
18分 27分 52分 1時間34分
1コンソールのUpdateEXPERT 6.1で、今回の修正プログラムを適用するのにかかる時間を概算したもの。ネットワーク環境や適用するコンピュータの性能などによって適用時間は異なる。あくまでも目安として利用してほしい。
 

UpdateEXPERT上の表示

Windows NT Server 4.0 SP6a:
[展開ビュー]−[OS]タブに「名前:NT4SVR-KB873350-x86-JPN.exe」で登録

 

HotFix Reportは、UpdateEXPERTユーザー向けの情報を含んでいます。UpdateEXPERTは、管理者の負担を大幅に軽減するHotFix管理ツールです。UpdateEXPERTに関する詳細ならびにお問い合わせは、アップデートテクノロジー株式会社のホームページをご参照ください。
 
Copyright (C) Digital Advantage Corp.
このメールは、HotFix Reportにご登録いただいておりますユーザー様にお送りしています。
無断で複製・再配信などを行うことはできません。 このメールに関する問い合わせ先:info@hotfix.jp
HotFix Reportでは、細心の注意を払って情報提供を行っておりますが、本サービスにおける情報の正確性、最新性、適切性などについて、明示的又は黙示的な保証を行いません。また本サービスの停止や欠陥、それらに起因して発生する損失や損害について、一切責任を負いません。