Bugtraqなどのセキュリティ関連掲示板とフランスのセキュリティ・コンサルティング会社であるK-OTiK Securityなどが、「TechNetセキュリティ情報：MS04-028」の脆弱性の有無を検証するための実証コードを公開した。

　9月22日にBugtraqとK-OTiK Securityで公開された実証コードは、どちらもWindows XP SP未適用／SP1／SP1aを対象にしたものである。MS04-028の修正プログラムを適用していない場合、Bugtraqで公開されたJPEGファイルを開くとコマンド・プロンプト（cmd.exe）が起動される。一方、K-OTiK Securityで公開されたものはAdministratorsグループにユーザー「X」を追加する。また9月23日にはBugtraqにWindows NT 4.0／2000／XP／Windows Server 2003をターゲットとする新しい実証コードも公開されている。この実証コードは、バックドアを仕掛けることを可能にするもののようだ。

　いずれもソース・コードの形で公開されており、比較的容易に悪用可能なものとなっている。ソース・コードをコンパイルすると、攻撃に利用可能なJPEGファイル（画像情報は含まれていない）が作成される。これらの実証コードをベースにしたウイルスやトロイの木馬が近日中に登場するのは間違いないだろう。現在公開されている実証コードは、Windows XP SP未適用／SP1／SP1aをターゲットにしたものであるが、脆弱性の対象となっているgdiplus.dllは、広くサードパーティ製アプリケーションにも同梱されている。そのため、より広範囲な攻撃を可能とする改変が行われる可能性も否定できない。MS04-028の修正プログラムを至急適用し、ウイルス対策ソフトウェアの導入を行いたい。すでに多くのウイルス対策ソフトウェアが、MS04-028の脆弱性を悪用するJPEGファイルに対応している。ただしウイルス対策ソフトウェアの中には、デフォルトの設定のままではJPEGファイルを検出対象として含んでいないものもあるようだ。JPEGファイルも検出対象とするように設定を確認しておきたい。

　なおBugtraqとK-OTiK Securityのほか、MHTML形式の電子メールによる実証コードも広くセキュリティ関連の掲示板で公開されていることを確認した。この実証コードは、Outlook Expressでメールを開くなどすると、gdiplus.dllの脆弱性によってアプリケーションが異常終了する（メールに添付されたJPEGファイルを開くと、JPEGファイルの表示を行うアプリケーションが異常終了する）。システムが破壊されるといった危険性はないものの、いたずら目的でこのメールが広く配布されてしまう可能性も懸念される。メールに添付されている不審なJPEGファイルを開いたりプレビューしたりしないように注意すること。

　Dynicity（Eric Brunsen氏）とSANS（Tom Liston氏）は、MS04-028の脆弱性を持つ古いバージョンの「gdiplus.dll」をシステム内で検索し、レポートするツールをそれぞれ公開した。

■GDIPlus.DLL Reporting Utility
　Dynicityが公開したツール「GDIPlus.DLL Reporting Utility」は、マシン名とドライブ名をテキスト・ファイルに記述することで、リモートでの検索が可能だ。以下のように記述したテキスト・ファイルを読み込ませると、ローカル・マシンのC:ドライブとマシン名「server」のC:ドライブが検索できる。

　複数のコンピュータをリモートで検索したい場合は、GDIPlus.DLL Reporting Utilityが便利だ。なお、GDIPlus.DLL Reporting Utilityの実行には.Net Framework 1.1 SP1が必要である。また「\\server\C$」のように管理用共有を利用してリモートのコンピュータをスキャンする場合は、そのコンピュータの管理者権限を持つユーザーアカウントでGDIPlus.DLL Reporting Utilityを実行する必要がある。

・Dynicity（GDIPlus.DLL Reporting Utility）：
http://www.dynicity.com/products/GDIReporter.aspx

■GDI Scan
　SANSが公開したツール「GDI Scan」は、GUI版とコマンド・ライン版の2種類が提供されており、どちらもローカル・マシンを検索し、脆弱性を持つバージョンを赤字で表示する。「gdiplus.dll」以外の関連する「sxs.dll」「VGX.DLL」「mso.dll」「wsxs.dll」も検索を行うので、ローカル・マシンをチェックするのならば、GDI Scanの方がよい。

・SANS（GDI Scan）：
http://isc.sans.org/gdiscan.php