Microsoft Message Queuing（MSMQ）に未チェック・バッファの脆弱性が存在する。その結果、細工されたメッセージをMSMQが受信すると、任意のコードが実行され、コンピュータの制御が完全に奪われる危険性がある。匿名ユーザーがインターネットを介して攻撃することも可能なので、MSMQがインストールされている場合は非常に危険だ。

　マイクロソフトによれば、MSMQはどのバージョンのWindows OSにもデフォルトではインストールされておらず、手動でインストールした場合にのみ、MS05-017の脆弱性の影響を受けるとしている。ただしBizTalk Server 2000／2002／2004では、インストールの際にMSMQが必要となるので、BizTalk Serverを利用している場合は、脆弱性の影響を必ず受けることになる。一般的なクライアントとしての利用においては、MSMQがインストールされることはないだろう。またWindows Server 2003とWindows XP SP2には、MS05-017の脆弱性が存在しないとしている。

　マイクロソフトによれば、MS05-021の脆弱性は非公開で報告されたとしており、実証コードや攻撃例は確認されていないという。ただし前述のようにBizTalk Serverを利用している場合は、攻撃を受ける可能性があり、ひとたび攻撃を受ければ、大きな被害が発生する可能性が高い。その他、MSMQがインストールされている可能性がある場合は、その有無を確認し、なるべく早期に修正プログラムを適用した方がよい。

　MSMQは、さまざまなネットワークを越えて通信したり、オフラインの可能性のあるコンピュータと通信したりすることを可能にする、メッセージの一時的な格納場所を提供し、メッセージが送信先に確実に到着するようにするための技術である。

　MSMQのコンポーネントに未チェック・バッファが存在し、細工されたメッセージを受信すると任意のコードが実行される。通常、インターネット側に対してMSMQを利用している場合、MSMQ HTTPメッセージの配信に利用する。この場合、MS05-017の脆弱性の影響は受けない。一方、RPCポートを使用するメッセージにMSMQを利用している場合、インターネットを介した攻撃を受ける危険性がある。ただしこの場合でも、RPCポートの受信者側から送信を要求していないすべての受信パケットをファイアウォールでブロックすれば、攻撃を緩和できる。

　BizTalk Serverやサードパーティ製Webアプリケーション・サーバ・ソフトウェアなどがMSMQを利用している。これらを利用しているサーバは特に注意が必要だ。MBSAなどを利用して、MSMQがインストールされていないかどうかまず確認することをお勧めする。

■適用テストの結果
　DA Labでは、以下のプラットフォームで修正プログラムの適用テストを行った。

■Windows XP SP1／SP1aにはデフォルトでMSMQを構成するファイルがインストールされている
　TechNetセキュリティ情報によれば、「MSMQのコンポーネントはどのバージョンのWindows OSにもインストールされていない」としている。しかしWindows XP SP1／SP1aには、MSMQを構成するファイルがデフォルトでインストールされていることを確認した（サービスは起動していない）。

　そのためMSMQを手動でインストールしていない場合でも、Windows Updateを実行すると、Windows XP SP1／SP1aではMSMQが検出され、修正プログラムの適用が要求される。MSMQが起動していなければ、細工されたメッセージを受信することがないため、脆弱性の影響は受けないと思われる。ただしWindows XP SP1／SP1aの場合は、MSMQを起動した際に脆弱性の影響を受けないように、修正プログラムを適用しておいた方がよい。

　Windows 2000の場合は、デフォルトではMSMQを構成するファイルがインストールされていないので、MSMQを手動でインストールしていない限り、修正プログラムを適用する必要はない。MSMQがインストールされていない状態でMS05-017の修正プログラムを適用した場合、更新用のファイルは%Windir%\system32\dllcache\にのみ保存される。ただしその後MSMQをインストールすると、古い脆弱性の存在するファイルに書き戻される可能性もあるので、インストール後にもう1度、MS05-017の修正プログラムの適用を行った方がよい。

■Windows NT 4.0 SP6a／2000 SP2／XP SP未適用向け修正プログラムは提供されない
　Windows NT Workstation 4.0 SP6a／2000 SP2は2004年6月30日に、Windows XP SP未適用は2004年9月30日にそれぞれサポート・ライフサイクルが終了したため、MS05-017の修正プログラムは提供されない。Windows 2000 SP2はSP3またはSP4を適用してから、Windows XP SP未適用はSP1a／SP2を適用してから、それぞれ対応する修正プログラムを適用する。Windows XP SP2には、MS05-017の脆弱性は存在しないので、SP2を適用した場合は、修正プログラムを適用する必要はない。

　また、Windows NT Server 4.0も2004年12月31日でサポート・ライフサイクルが終了しており、MS05-017の修正プログラムは提供されない。そのため、Windows NT 4.0 SP6aについては、脆弱性を解消する手段がないため、OS自体のバージョンアップが必要となる。

■Windows 98／98SEにも脆弱性あり
　TechNetセキュリティ情報によれば、Windows 98／98SEにもMSMQの脆弱性が存在する。ただしマイクロソフトはこれらを「緊急ではない」と判断しており、修正プログラムの提供は行われない。

■MBSA 1.21の結果
　MS05-017の修正プログラムが正しく適用されているかどうかは、MBSA 1.21で確認可能だ。未適用の場合は、「Windowsのセキュリティの更新」の「結果の詳細情報」に、「メッセージ キューの脆弱性により、コードが実行される (892944)」が表示される。

　修正プログラムが正しく適用できたかどうかは、以下のレジストリ・キーにある値を調べることで確認できる。

・Windows 2000 SP3／SP4：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows 2000\SP5\KB892944\Filelist以下のファイル一覧を確認する

・Windows XP SP1／SP1a：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows XP\SP2\KB892944\Filelist以下のファイル一覧を確認する

・Windows 2000 SP3／SP4：
［展開ビュー］−［IIS］タブに「名前：Windows2000-KB892944-x86-JPN.EXE」で登録

・Windows XP SP1／SP1a：
［展開ビュー］−［IIS］タブに「名前：WindowsXP-KB892944-x86-JPN.exe」で登録