WindowsカーネルがAsynchronous Procedure Call（APC）のキュー一覧にあるアイテムを処理する方法に脆弱性が存在し、特権の昇格が起きる危険性がある。この脆弱性を悪用することで、任意のコードをシステム権限で実行することが可能になる。ウイルスやワームに悪用された場合、感染したコンピュータの制御が完全に奪われてしまう危険性がある。

　マイクロソフトによれば、MS05-050の脆弱性は非公開で報告されたとしており、実証コードや攻撃例は確認されていないという。ただし、修正プログラムがリリースされたことから、脆弱性を発見したeEye Digital Securityが詳細な技術情報を公開している。この情報をもとに、脆弱性を悪用するウイルス／ワームなどが開発される危険がある。至急、修正プログラムを適用した方がよい。

・eEye Digital Security（Windows Kernel APC Data-Free Local Privilege Escalation Vulnerability）：
http://www.eeye.com/html/research/advisories/AD20051213.html

・住商情報システム（eEye Advisories：WindowsカーネルAPC Data-Freeローカル特権昇格の脆弱性）：
http://www.sse.co.jp/eeye/advisories/AD20051213.html

　Windowsカーネル内におけるAPCのキュー一覧のアイテムを処理する方法に脆弱性が存在し、カーネル・データの領域を開放させることができる。これにより、カーネル・メモリを操作したり、実行フローを直接変更したりすることが可能になる。APCとは、特定のスレッドのコンテキストにおいて非同期で実行される機能である。

　この脆弱性が悪用されるには、ローカルでコンピュータにログオンし、プログラムが実行されることが条件となる。そのため、インターネットから直接リモートで攻撃を受けることはない。ただし電子メール添付型ウイルスやワームに悪用された場合は、ローカルでプログラムが実行されてしまうことになるので、この脆弱性が悪用される危険性がある。

■適用テストの結果
　DA Labでは、以下のプラットフォームで修正プログラムの適用テストを行った。

■Windows NT 4.0も脆弱性の対象？
　脆弱性を発見したeEye Digital Securityの技術情報によると、Windows NT 4.0にもMS05-055の脆弱性が存在するということだ。Windows NT 4.0はすでにマイクロソフトのサポート・ライフサイクルが終了しており、カスタムサポートを契約していないユーザーには修正プログラムが提供されない。この脆弱性に対しては、明確な回避策もないことから、危険な状態が続くことになる。至急、サポート対象となっているWindows 2000 SP4、Windows XP SP1／SP1a／SP2、Windows Server 2003 SP未適用／SP1への移行を行った方がよい。

■MBSA 2.0の結果
　修正プログラムが正しく適用されているかどうかは、MBSA 2.0で確認可能だ。未適用の場合は、「Windowsのセキュリティの更新」の「結果の詳細情報」に、「Windows 2000 用セキュリティ更新プログラム (KB908523)」が表示される。参考までにMBSA 1.21では「Windows カーネルの脆弱性により、特権が昇格される (908523)」が表示される。

　修正プログラムが正しく適用できたかどうかは、以下のレジストリ・キーにある値を調べることで確認できる。

・Windows 2000 SP4：
HKEY_LOCAL_MACHINE\Software\Microsoft\Updates\Windows 2000\SP5\KB908523\Filelist以下のファイル一覧を確認する

・Windows 2000 SP4：
［展開ビュー］−［OS］タブに「名前：Windows2000-KB908523-x86-JPN.EXE」で登録