COM+のメモリ処理やMSDTC（Microsoft Distributed Transaction Coordinator）の未チェック・バッファなど4種類の脆弱性により、リモートで任意のコードが実行される危険性がある。脆弱性が悪用されると、コンピュータの制御が完全に奪われてしまう。

　MSDTCの脆弱性は、Zotobワームと同様、インターネットを介して感染を広げるウイルス／ワームに悪用される危険性のあるものだ。特に、Windows 2000では、匿名ユーザーが脆弱性を悪用できるため、早期に修正を適用して対策しないと、Zotob同様のリモート攻撃を受ける可能性がある（Windows XPやWindows Server 2003では、攻撃にログオン資格が必要）。Zotob（MS05-039を悪用するワーム）のときも、Windows 2000のみ匿名のリモート攻撃が可能で、米国企業などを中心に深刻な被害が広がったという経緯がある。インターネットに接続されたWindows 2000を使っているなら、いますぐにでも修正を適用すべきだ。

　マイクロソフトによれば、MS05-051の4種類の脆弱性はすべて非公開で報告されたとしており、実証コードや攻撃例は確認されていないという。しかし、すでにセキュリティ・ベンダのImmunityは、同社のパートナー・プログラム・ユーザー向けに実証コードの配布を開始したことを明らかにしている。実証コードが一般に公開されたわけではないが、このことから容易に実証コードが作成可能であることが分かる。また修正プログラムの提供が開始されたことから、脆弱性を発見したeEye Digital SecurityやiDEFENSEが、詳細な技術情報を公開している。今後、実証コードが一般に公開され、悪用される可能性も懸念される。MS05-051の修正プログラムは、「HotFixテスティング・チームからのコメント」で記したように不具合も報告されているが、危険性も高まっているので、十分な検証を実施した上で、至急適用を行った方がよい。

・Immunity：
http://www.immunitysec.com/index.shtml

　MS05-051の修正プログラムは、以下の4種類の脆弱性を解消する。

■MSDTCの脆弱性（深刻度：緊急　CVE：CAN-2005-2119）
　MSDTCに未チェック・バッファの脆弱性が存在し、細工されたメッセージを受信すると、任意のコードが実行される危険性がある。MSDTCは、Windowsプラットフォームのための分散トランザクションを実行する機能である。SQL Server、BizTalk Server、Exchange Serverのインストール、クラスタリングなどで利用されており、複数のコンピュータ間でトランザクションの分散実行を可能にする。

　Windows 2000ではMSDTCがデフォルトで有効になっており、Zotobワームと同様の攻撃を受ける可能性がある。すでにMSDTCが利用するTCPポート3372へのスキャンの増加が確認されており、攻撃の予兆であるという報告もある。脆弱性を発見したeEye Digital Securityが詳細な技術情報を公開していることから、この情報をもとにウイルスやワームなどの攻撃コードが作成されることが懸念される。

　なおWindows XP SP2とWindows Server 2003 SP1はこの脆弱性の影響を受けない。

・eEye Digital Security（Microsoft Distributed Transaction Coordinator Memory Modification Vulnerability）：
http://www.eeye.com/html/research/advisories/AD20051011b.html
http://www.sse.co.jp/eeye/advisories/AD20051011b.html（翻訳）

■COM+の脆弱性（深刻度：緊急　CVE：CAN-2005-1978）
　COM+がメモリ構造体を作成・使用する際の処理に脆弱性があり、リモートで任意のコードが実行される危険性がある。細工されたネットワーク・メッセージを受信すると、この脆弱性が悪用され、コンピュータの制御が完全に奪われてしまう。COM+は、COM（Component Object Model）とMTS（Microsoft Transaction Server）の後継となる技術で、スレッド割り当てやセキュリティなどのリソース管理タスクをネットワーク上の複数のオブジェクトに対して処理するサービスである。

　2005年10月15日時点では、脆弱性に関する詳細な技術情報や実証コードは公開されていないようだ。ただしWindows 2000とWindows XP SP1／SP1aでは、リモート攻撃が可能なので、特に注意が必要だ（マイクロソフトは、Windows XP SP2およびWindows Server 2003 SP未適用、SP1ではリモート攻撃は困難、としている）。

■TIPの脆弱性（深刻度：警告　CVE：CAN-2005-1979）／分散化されたTIPの脆弱性（深刻度：警告　CVE：CAN-2005-1980）
　MSDTCがTIP（Transaction Internet Protocol）のリクエストの検証過程に2種類の脆弱性が存在し、細工されたメッセージを受信すると、MSDTCが応答しなくなるサービス拒否を引き起こす。TIPとは、異種のトランザクション・マネージャによる分散トランザクションの協調を可能にするIETFの標準プロトコルである。

・IETF（Transaction Internet Protocol Version 3.0）：
http://www.ietf.org/rfc/rfc2371.txt

　ただしこれは古いプロトコルで、新しいアプリケーションでは使用されていないようだ（事実、次に述べるように、WindowsXP SP1以降やWindows Server 2003では、TIPはデフォルトでは有効化されていない）。

　Windows 2000では、デフォルトでTIPが有効化されているため、標準の状態で脆弱性の影響を受ける。これに対しWindows XP SP1／SP1a／SP2、Windows Server 2003 SP未適用／SP1では、MSDTCが起動していても、TIPは有効化されないため、デフォルトでは脆弱性の影響は受けない。これらのOSでTIPを有効にするには、管理者が手動で設定を行う必要がある。

・iDEFENSE（Microsoft Distributed Transaction Controller TIP DoS Vulnerability）：
http://www.idefense.com/application/poi/display?id=320&type=vulnerabilities

・iDEFENSE（Microsoft Distributed Transaction Controller Packet Relay DoS Vulnerability）：
http://www.idefense.com/application/poi/display?id=319&type=vulnerabilities

■適用テストの結果
　DA Labでは、以下のプラットフォームで修正プログラムの適用テストを行った。

■MS05-051の修正プログラム適用後にログオンできなくなるなどの不具合が発生する可能性あり
　マイクロソフトは、MS05-051の修正プログラムを適用すると、以下の不具合が発生する可能性があることを報告している。

• Windows Installerサービスが開始されないことがある。
• Windowsファイアウォール・サービスが起動しないことがある。
• ネットワーク接続フォルダが空になる。
• Windows UpdateサイトがInternet Explorerの「UserDataの常設」設定を変更するように誤った操作を勧める
• IISで実行しているActive Server Pages（ASP）ページが「HTTP 500 - Internal Server Error」メッセージを返すようになる。
• COM+ EventSystemサービスが開始されなくなる。
• COM+アプリケーションが起動しなくなる。
• MMCで［コンポーネント サービス］を読み込んだ際に［コンピュータ］ノードが展開しなくなる。
• 10月の月例修正プログラム適用後、認証されたユーザーがログオンできなくなり、空白な画面が表示される。

　これは、MS05-051の修正プログラムを適用すると、COM／COM＋アプリケーションによる%SystemRoot%\registrationフォルダとそこに置かれたCOMカタログ・ファイル（.clbファイル）へのアクセス制限が強化される。このためデフォルトの状態からカタログ・ファイルへのアクセス権設定が変更されていると、MS05-051の適用によって、COM／COM＋アプリケーションがカタログにアクセスできなくなり、上記のような不具合を生じる。MS05-051の適用以前は、アクセス権設定にかかわらず、COM／COM＋アプリケーションがカタログ・ファイルにアクセス可能だった。

　デフォルトで、registrationフォルダとCOMカタログ・ファイルのアクセス許可は以下のようになっている。

　上記のような症状を始め、MS05-051の適用によって不具合が発生した場合には、この問題を疑う必要があるだろう。この問題が原因しているなら、当該フォルダとファイルのアクセス許可を確認し、デフォルトから変更されているようなら上記の設定に戻すことで解消可能だ。

■Windows 2000ではTIP機能が無効に設定される
　MS05-051の修正プログラムをWindows 2000に適用すると、TIPが無効に設定される。有効に設定するには、レジストリ・エディタで「HKLM\Software\Microsoft\MSDTC\Security\」のNetworkDtcAccessTip（DWORD値）に「1」を設定する。ただし、TIPを利用するアプリケーションを使用していなければ、有効にする必要はない。詳細は次のページを参照されたい。

・サポート技術情報 908620（How to configure MS DTC Transaction Internet Protocol functionality after you install security update 902400）：
http://support.microsoft.com/default.aspx?scid=kb;en-us;908620

■TIPのセキュリティ向上のために4つのレジストリが追加される
　MS05-051の修正プログラムは、TIP機能の将来的な脆弱性の影響を減らすため、デフォルトでプロトコルの検証機能を強化している。それらの設定を無効化するために、以下の4つのレジストリが追加される。いずれの機能も各レジストリ・キーが存在しないかDWORD値「0」が設定されていると検証機能が有効になる。既存のアプリケーションやサーバ構成で追加された機能を無効にする場合は、レジストリ・キーを作成し、DWORD値「1」を設定する必要がある。

• TIPパケット中のTM IDをチェックし、送信側のIPアドレスと一致しない場合にパケットをブロックする
  

  HKEY_LOCAL_MACHINE\Software\Microsoft\MSDTC\DisableTipTmIdVerification

  
  
• 宛先ポートに3372番が指定されていないパケットを拒否する
  

  HKEY_LOCAL_MACHINE\Software\Microsoft\MSDTC\ DisableTipTmIdPortVerification

  
  
• TIPの「BEGIN」コマンドを常に拒否する
  

  HKEY_LOCAL_MACHINE\Software\Microsoft\MSDTC\DisableTipBeginCheck

  
  
• 「PUSH」されたトランザクションのうち、ローカルの処理を行わなかったトランザクションについてTIPの「PULL」コマンドを拒否する
  

  HKEY_LOCAL_MACHINE\Software\Microsoft\MSDTC\DisableTipPassThruCheck

■Windows XP SP2とWindows Server 2003 SP1では［プログラムの追加と削除］で表示形式が日付順になる修正ツールが実行される
　Windows XP SP2とWindows Server 2003 SP1では、update.exe 6.1を使用してビルドされた修正プログラムが、コントロール・パネルの［プログラムの追加と削除］で日付順に並ばないという不具合がある。これは、 update.exe 6.1を使用してビルドされたパッケージのレジストリ・キーに、「Installed On」属性がないことに起因する。

　MS05-051の修正プログラムは、Windows XP SP2またはWindows Server 2003 SP1で実行されると、この不具合を解消する「arpidfix.exe」を実行し、［プログラムの追加と削除］の表示項目表示が日付順に並ぶように「Installed On」属性を付加する。arpidfix.exeは、修正プログラムの実行時のみ使用される。

・サポート技術情報 904630（Arpidfix.exe ツールについて）：
http://support.microsoft.com/default.aspx?scid=kb;ja;904630

■MBSA 2.0の結果
　修正プログラムが正しく適用されているかどうかは、MBSA 2.0で確認可能だ。未適用の場合は、「Windowsのセキュリティの更新」の「結果の詳細情報」に、「Windows ｛2000／XP／Server 2003｝ 用セキュリティ更新プログラム (KB902400)」が表示される。参考までにMBSA 1.21では「Windowsのセキュリティの更新」に「MSDTC および COM+ の脆弱性により、リモートでコードが実行される (902400)」が表示される。

　以下のファイルにパッチが適用される。障害の発生が懸念される場合は、これらのファイルのバックアップを取っておくとよい。

　修正プログラムが正しく適用できたかどうかは、以下のレジストリ・キーにある値を調べることで確認できる。

・Windows 2000 SP4：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows 2000\SP5\KB902400\Filelist以下のファイル一覧を確認する

・Windows XP SP1／SP1a／SP2：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows XP\SP3\KB902400\Filelist以下のファイル一覧を確認する

・Windows Server 2003 SP未適用／SP1：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows Server 2003\SP2\KB902400\Filelist以下のファイル一覧を確認する

・Windows 2000 SP4：
［展開ビュー］−［OS］タブに「名前：Windows2000-KB902400-x86-JPN.EXE」で登録

・Windows XP SP1／SP1a／SP2：
［展開ビュー］−［OS］タブに「名前：WindowsXP-KB902400-x86-JPN.exe」で登録

・Windows Server 2003 SP未適用／SP1：
UpdateEXPERT 5.1：サポート対象外
UpdateEXPERT 6.1：［展開ビュー］−［OS］タブに「名前：WindowsServer2003-KB902400-x86-JPN.exe」で登録