Windows XP Professional SP2上のIIS（Internet Information Services） 5.1に未チェック・バッファの脆弱性が存在する。細工されたURLのリクエストをIIS 5.1でホストされたWebサイトが受信すると、任意のコードが実行される危険性がある。

　MS07-041の脆弱性は、すでに一般に公開されており、サービス拒否を起こす実証コードが公開されている。マイクロソフトによれば、現時点で攻撃に悪用された事例は報告されていないということだ。

　Windows XP Professional SP2のIIS 5.1でWebサイトをホストしている例は少ないと思われるが、実験などでもインターネットに公開している場合は注意が必要だ。悪用されるとインターネット経由による攻撃が直接実行される危険性があるので、至急、修正プログラムを適用した方がよい。

　この脆弱性は、2005/12/21日付けHotFix Weeklyで報告した「IIS 5.1にサービス拒否を起こす修正プログラム未提供の脆弱性」である。当初は、サービス拒否の脆弱性として一般に公開されていたが、その後、コード実行が可能な脆弱性であることが判明したということだ。

・HotFix Weekly 2005/12/21日付け（IIS 5.1にサービス拒否を起こす修正プログラム未提供の脆弱性）：
http://www.hotfix.jp/archives/alert/2005/news05-1221.html#02

　脆弱性は、IIS 5.1のURLパーサーに未チェック・バッファが存在することに起因する。特定のフォルダ名を含む細工されたHTTPリクエストをIIS 5.1が受信すると、バッファ・オーバーフローにより、任意のコードが実行されてしまう。

　Windows XP Professional SP2＋IIS 5.1によるWebサイトの公開は、規定外の利用法であるため、最大深刻度は「2（重要）」となっているが、そのような利用法をしている場合の危険性は非常に高い。

■適用テストの結果
　DA Labでは、以下のプラットフォームで修正プログラムの適用テストを行った。

■MBSA 2.0.1の結果
　MS07-041の修正プログラムが正しく適用されているかどうかは、MBSA 2.0.1で確認可能だ。未適用の場合は、「Windowsのセキュリティの更新」の「結果の詳細情報」に以下が表示される。

• Windows XP 用セキュリティ更新プログラム (KB939373)

■IIS 5.1のWWWサービスがインストールされている場合にのみ適用可能
　MS07-041の修正プログラムは、IIS 5.1のWWWサービスがインストールされている場合にのみ適用可能である。Windows Update／Microsoft Update／自動更新においても、WWWサービスの有無を検知し、WWWサービスがインストール済みの場合にのみ適用可能となる。ダウンロード・センターから修正プログラムを入手し、手動でインストールする場合、WWWサービスがインストールされていないとエラーが表示されるので注意が必要だ。

　後からWWWサービスをインストールした場合は、必ずMS07-041の修正プログラムを適用すること。

　修正プログラムが正しく適用できたかどうかは、以下のレジストリ・キーにある値を調べることで確認できる。

・Windows XP Professional SP2：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows XP\SP3\KB939373\Filelist以下のファイル一覧を確認する

・Windows XP Professional SP2：
［展開ビュー］−［IIS］タブに「名前：WindowsXP-KB939373-x86-JPN.exe」で登録