Windowsドメイン・ネーム・システム（DNS）にDNSキャッシュ・ポイズニングの脆弱性が存在する。この脆弱性により、本来とは異なる接続先に誘導されてしまう危険性がある。

　攻撃者によってDNSキャッシュに偽のDNSデータが挿入されることで、ユーザーが本来とは異なる接続先に誘導される危険性がある。ユーザーが目的とする本来のWebサイト（銀行やクレジット・カード会社など）のURLを正しく入力しても、自動的に偽のWebサイトへと誘導されてしまう。その結果、入力したクレジット・カード番号などの情報が攻撃者によって窃取されてしまう可能性がある。特定の企業をターゲットとした攻撃に悪用される危険性もあるので注意が必要だ。

　脆弱性の影響を受けるDNSサーバ・サービスは、Windows Sever OSにデフォルトで実装されている機能で、DNSサーバとして運用している場合はもちろん、ドメイン・コントローラやSmall Business Serverでもこのサービスが有効になっている。またMS08-037の脆弱性は、DNSサーバ・サービスだけでなく、DNSクライアントも脆弱性の対象となっていることから、Windows Sever OSに加え、Windows 2000 Professional、Windows XPも影響を受ける。ただしWindows Vistaは、この脆弱性の影響を受けない。

　MS08-037の修正プログラムは、以下の2件の脆弱性を解消する。

　Windows DNSクライアントおよびDNSサーバのDNSサービスがDNSクエリを実行する時のDNSトランザクションID値、リモート・クエリのUDPソケット番号の生成の乱雑さが足りず、予測可能となる脆弱性が存在する。

　脆弱性の存在するDNSサーバやクライアントにクエリを送り、同時に偽のDNSデータを挿入できるような方法で応答を返すことで攻撃が実行される。これにより、DNSサーバやクライアントのDNSキャッシュに偽のアドレスが挿入され、本来とは異なる接続先に誘導される危険性がある。なおWindows VistaとWindows Server 2008は、この脆弱性の影響を受けない。

　特定の状況でDNSサーバが、権限のないリモート・サーバの応答からのレコードを受け入れることに起因するDNSキャッシュ・ポイズニングの脆弱性が存在する。特定のDNSリクエストへの応答に偽のDNSデータが挿入されることで、本来とは異なる接続先に誘導される危険性がある。なお、脆弱性はDNSサーバのみに影響し、Windows 2000 Server、Windows Server 2003、Windows Server 2008のみが影響を受ける。

■適用テストの結果
　DA Labでは、以下のプラットフォームで修正プログラムの適用テストを行った。

■MBSA 2.1の結果
　MS08-037の修正プログラムが正しく適用されているかどうかは、MBSA 2.1で確認可能だ。未適用の場合は、「Windowsのセキュリティの更新」の「結果の詳細情報」に以下のいずれかが表示される。

• Windows 2000 用セキュリティ更新プログラム (KB951748)
• Windows 2000 用セキュリティ更新プログラム (KB951746)
• Windows XP 用セキュリティ更新プログラム (KB951748)
• Windows Server 2003 用セキュリティ更新プログラム (KB951746)
• Windows Server 2003 用セキュリティ更新プログラム (KB951748)
• Windows Server 2008 用セキュリティ更新プログラム (KB951746)

■適用にはDNSサーバがインストールされていることが条件
　 MS08-037のDNSサーバ向け修正プログラム（KB951746）は、DNSサーバ（dns.exe）がインストールされていることが適用条件となっている。Windows 2000 Server、Windows Server 2003 SP1／SP2、Windows Server 2008であっても、DNSサーバをインストールしていない場合は、以下のメッセージのエラー・ダイアログが表示され、修正プログラムの適用はできない。

「KB951746 のインストールのための必要条件がひとつ以上失敗したので、セットアップを続行できません。詳細については、ログ ファイル c:\windows\KB951746.log を確認してください。」

　Windows Update／Microsoft Update／自動更新においても、DNSサーバがインストールされていなければ、MS08-037のDNSサーバ向け修正プログラムは表示されない。

　しかし後からDNSサーバをインストールした場合は、その時点で修正プログラムの適用が必要になるので注意が必要だ。特にMS08-037の脆弱性を悪用するウイルスなどが広まった場合、DNSサーバをインストールした時点で攻撃を受ける危険性がある。ネットワークを一時的に遮断して修正プログラムを適用するなど細心の注意を払った方がよい。

■Windows 2000 Server／Windows Server 2003はアンインストールに注意
　DNSサーバを実行しているWindows 2000 Server／Advanced ServerとWindows Server 2003は、DNSサーバ向け（KB951746）とDNSクライアント向け（KB951748）の修正プログラムをそれぞれ適用する必要がある。ただしDNSサーバ向けとDNSクライアント向けの修正プログラムは、バイナリを共有していることから、アンインストールする際には共有されているバイナリが以前のバージョンに戻らないように、逆の順番でアンインストールする必要がある。例えば、DNSサーバ向け（KB951746）→DNSクライアント向け（KB951748）の順番で適用した場合は、DNSサーバ向け（KB951746）だけをアンインストールしたい場合でも、DNSクライアント向け（KB951748）→DNSサーバ向け（KB951746）の順でアンインストールした後、DNSクライアント向け（KB951748）を再適用するという手順を行う必要がある。

　ここで、DNSサーバ向け（KB951746）のみをアンインストールしてしまうと、DNSクライアント向け（KB951748）がアンインストールできなくなったり、DNSサーバ向け（KB951746）しかアンインストールしていないのにもかかわらず、DNSクライアントの脆弱性も復活（脆弱性を持つ古いモジュールに戻る）したりしてしまう危険性がある。そのためアンインストール前には、必ず適用の順番の確認が必要だ。

　手動で適用した場合は、適用の順番が把握可能だが、Windows Update／Microsoft Update／自動更新で適用した場合は、順番が把握できないことがある。このような場合は、%systemroot%フォルダのKB951746.logとKB951748.logを開くと、適用開始時間が記録されているので、それを見ることで確認できる。

　修正プログラムが正しく適用できたかどうかは、以下のレジストリ・キーにある値を調べることで確認できる。

・Windows 2000 SP4（DNSクライアント）：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows 2000\SP5\KB951748\Filelist以下のファイル一覧を確認する

・Windows 2000 Server／Advanced Server SP4（DNSサーバ）：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows 2000\SP5\KB951746\Filelist以下のファイル一覧を確認する

・Windows XP SP2／SP3（DNSクライアント）：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows XP\SP4\KB951748\Filelist以下のファイル一覧を確認する

・Windows Server 2003 SP1／SP2（DNSクライアント）：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows Server 2003\SP3\KB951748\Filelist以下のファイル一覧を確認する

・Windows Server 2003 SP1／SP2（DNSサーバ）：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows Server 2003\SP3\KB951746\Filelist以下のファイル一覧を確認する

・Windows Server 2008（DNSサーバ）：
置き換わるファイルのバージョンで確認する

・Windows 2000 SP4（DNSクライアント）：
［展開ビュー］−［OS］タブに「名前：Windows2000-KB951748-x86-JPN.EXE」で登録

・Windows 2000 Server／Advanced Server SP4（DNSサーバ）：
［展開ビュー］−［IIS］タブに「名前：Windows2000-KB951746-x86-JPN.EXE」で登録

・Windows XP SP2／SP3（DNSクライアント）：
［展開ビュー］−［OS］タブに「名前：WindowsXP-KB951748-x86-JPN.exe」で登録

・Windows Server 2003 SP1／SP2（DNSクライアント）：
［展開ビュー］−［OS］タブに「名前：WindowsServer2003-KB951748-x86-JPN.exe」で登録

・Windows Server 2003 SP1／SP2（DNSサーバ）：
［展開ビュー］−［IIS］タブに「名前：WindowsServer2003-KB951746-x86-JPN.exe」で登録

・Windows Server 2008（DNSサーバ）：
サポート対象外