• [アーティクル]

セキュリティ情報

Microsoft セキュリティ情報 MS03-039 - 重大

RPCSS サービスでのバッファー オーバーランにより、コードの実行が可能になる (824146)

公開日: 2003 年 9 月 10 日

バージョン: 1.0

投稿日: 2003 年 9 月 10 日

まとめ

このセキュリティ情報を読む必要があるユーザー: Microsoft ® Windows ® を実行しているユーザー

脆弱性の影響: 3 つの新しい脆弱性。最も深刻な脆弱性により、攻撃者がユーザーのシステムで任意のコードを実行する可能性があります。

最大重大度評価: 重大

推奨事項: システム管理者は、セキュリティパッチを直ちに適用する必要がある

エンド ユーザー情報: このセキュリティ情報のエンド ユーザー バージョンは、次のページで入手できます。

https:.

PC を保護する: PC の保護に役立つ方法に関する追加情報は、次の場所で入手できます。

  • エンド ユーザーは、PC の保護 Web サイトに アクセスできます
  • IT プロフェッショナルは、Microsoft TechNet Security Center Web サイトにアクセスできます。

影響を受けるソフトウェア:

  • Microsoft Windows NT Workstation 4.0
  • Microsoft Windows NT Server® 4.0
  • Microsoft Windows NT Server 4.0、ターミナル サーバー エディション
  • Microsoft Windows 2000
  • Microsoft Windows XP
  • Microsoft Windows Server 2003

影響を受けないソフトウェア:

  • Microsoft Windows Millennium Edition

一般情報

技術詳細

技術的な説明:

この更新プログラムによって提供される修正プログラムは、Microsoft セキュリティ情報 MS03-026 に含まれる修正プログラムよりも優先され、MS03-026 で説明されているセキュリティ脆弱性の修正プログラムと、新しく検出された 3 つの脆弱性が含まれています。

リモート プロシージャ コール (RPC) は、Windows オペレーティング システムで使用されるプロトコルです。 RPC は、あるコンピューターで実行されているプログラムが別のコンピューター上のサービスにシームレスにアクセスできるようにするプロセス間通信メカニズムを提供します。 プロトコル自体は Open Software Foundation (OSF) RPC プロトコルから派生していますが、一部の Microsoft 固有の拡張機能が追加されています。

RPCSS サービスの一部には、DCOM ライセンス認証用の RPC メッセージを処理する新しく特定された 3 つの脆弱性があります。2 つは任意のコード実行を可能にし、1 つはサービス拒否につながる可能性があります。 この欠陥は、不正な形式のメッセージを正しく処理できないためです。 これらの特定の脆弱性は、RPCSS サービス内の分散コンポーネント オブジェクト モデル (DCOM) インターフェイスに影響します。 このインターフェイスは、あるコンピューターから別のコンピューターに送信される DCOM オブジェクトアクティブ化要求を処理します。

攻撃者がこれらの脆弱性を悪用した場合、影響を受けるシステムでローカル システム特権でコードを実行したり、RPCSS サービスが失敗したりする可能性があります。 攻撃者は、プログラムのインストール、データの表示、変更、削除、完全な特権を持つ新しいアカウントの作成など、システム上で何らかのアクションを実行できる可能性があります。

これらの脆弱性を悪用するために、攻撃者は、RPCSS サービスを対象とする脆弱なシステムに不正な RPC メッセージを送信するプログラムを作成する可能性があります。

Microsoft は、MS03-039 パッチがインストールされていないシステムの存在をネットワークでスキャンするために使用できるツールをリリースしました。 このツールの詳細については、マイクロソフト サポート技術情報の記事 827363を参照してください。 このツールは、Microsoft サポート技術情報の記事 826369で提供されているツールよりも優先されます。 マイクロソフト サポート技術情報の記事826369で提供されているツールが、このセキュリティ情報で提供されているセキュリティ更新プログラムをインストールしたシステムに対して使用されている場合、置き換えられたツールは、MS03-026 で提供されている修正プログラムがシステムに不足していることを誤って報告します。 Microsoft では、システムに修正プログラムが適用されているかどうかを判断するために、827363マイクロソフト サポート技術情報の記事で入手できるツールの最新バージョンを実行することをお勧めします。

軽減要因:

  • ファイアウォールのベスト プラクティスと標準の既定のファイアウォール構成は、エンタープライズ境界外からのリモート攻撃からネットワークを保護するのに役立ちます。 ベスト プラクティスでは、実際に使用されていないすべてのポートをブロックすることをお勧めします。 このため、インターネットに接続されているほとんどのシステムでは、影響を受けるポートの数を最小限に抑える必要があります。

重大度の評価:

Windows NT Workstation 4.0 Windows NT Server 4.0 Windows NT Server 4.0、ターミナル サーバー エディション Windows 2000 Windows XP Windows Server 2003
バッファー オーバーランの脆弱性 重大 重大 重大 重大 重大 重大
サービス拒否の脆弱性 なし None なし 重要 なし なし
すべての脆弱性の重大度の集計 重大 重大 重大 重大 重大 重大

上記 の評価 は、脆弱性の影響を受けるシステムの種類、一般的な展開パターン、および脆弱性を悪用した場合の影響に基づいています。

脆弱性識別子:

バッファー オーバーラン: CAN-2003-0715

バッファー オーバーラン: CAN-2003-0528

サービス拒否: CAN-2003-0605

テスト済みバージョン:

Microsoft は、Windows Millennium Edition、Windows NT Workstation 4.0、Windows NT Server 4.0、Windows NT Server 4.0、Terminal Server Edition、Windows 2000、Windows XP、Windows Server 2003 をテストして、この脆弱性の影響を受けるかどうかを評価しました。 以前のバージョンはサポートされなくなり、これらの脆弱性の影響を受ける場合と影響されない場合があります。

よく寄せられる質問

セキュリティ情報 MS03-026 には RPC も含まれています。 この更新プログラムは、そのセキュリティ情報で提供されている更新プログラムよりも優先されますか?
はい。 このセキュリティ情報に記載されているセキュリティパッチは、MS03-026 で提供されているパッチと、MS01-048 で提供されるパッチに完全に優先します。

この脆弱性の範囲は何ですか?
このセキュリティ情報では、3 つの異なる脆弱性について説明します。 最初の 2 つは バッファー オーバーラン の脆弱性で、3 つ目は サービス 拒否の脆弱性です。 攻撃者がバッファー オーバーランの脆弱性のいずれかを悪用した場合、リモート コンピューターを完全に制御できる可能性があります。 これにより、攻撃者は、Web ページの変更、ハード ディスクの再フォーマット、ローカル管理者グループへの新しいユーザーの追加など、システムで必要な操作を実行できるようになります。 攻撃者がサービス拒否の脆弱性を悪用した場合、RPC サービスがハングして応答しなくなる可能性があります。 このような攻撃を実行するには、攻撃者が不正な形式のメッセージを RPCSS サービスに送信でき、これにより、任意のコードが実行されるようにターゲット システムが失敗する必要があります。

これらの脆弱性の原因は何ですか?
Windows RPCSS サービスが特定の状況下でメッセージ入力を適切にチェックしないため、この脆弱性が発生します。 接続を確立した後、攻撃者は特別に細工された形式の RPC メッセージを送信して、リモート システム上の RPCSS サービスの基になる分散コンポーネント オブジェクト モデル (DCOM) ライセンス認証インフラストラクチャが、任意のコードを実行できるように失敗させる可能性があります。

DCOM とは
分散コンポーネント オブジェクト モデル (DCOM) は、ソフトウェア コンポーネントがネットワーク経由で直接通信できるようにするプロトコルです。 以前は "ネットワーク OLE" と呼ばれ、DCOM は、HTTP などのインターネット プロトコルを含む複数のネットワーク トランスポートで使用するように設計されています。 DCOM の詳細については、次の Web サイトを参照してください: </https:>https:

リモート プロシージャ コール (RPC) とは
リモート プロシージャ コール (RPC) は、ネットワーク内の別のコンピューターにあるプログラムからサービスを要求するためにプログラムが使用できるプロトコルです。 RPC は、RPC を使用するプログラムが通信をサポートしているネットワーク プロトコルを理解する必要がないため、相互運用性に役立ちます。 RPC では、要求側プログラムはクライアントであり、サービス提供プログラムはサーバーです。

COM Internet Services (CIS) と RPC over HTTP とは
RPC over HTTP - v1 (Windows NT 4.0、Windows 2000) および v2 (Windows XP、Windows Server 2003) では、RPC が TCP ポート 80 および 443 (v2 のみ) 経由で動作できるようにする新しい RPC トランスポート プロトコルのサポートが導入されています。 これにより、クライアントとサーバーは、ほとんどのプロキシ サーバーとファイアウォールが存在する場合に通信できます。 COM Internet Services (CIS) を使用すると、DCOM は RPC over HTTP を使用して DCOM クライアントと DCOM サーバー間で通信できます。 Windows Server 2003 の "RPC over HTTP" の詳細については、次の URL を参照してください。 </https:>https: COM Internet Services (CIS とも呼ばれます) の詳細については、/ <https:>https を参照してください。

COM Internet Services (CIS) または RPC over HTTP がインストールされているかどうかを確認操作方法。
サーバーに COM Internet Services または RPC over HTTP がインストールされているかどうかを確認するには、次の手順に従います。

  • Windows NT オプション パックがインストールされている Windows NT 4.0 システムの場合: すべてのパーティション で "rpcproxy.dll" を検索します。 サーバーに "rpcproxy.dll" が見つかった場合は、COM Internet Services がインストールされます。

  • Windows 2000 および Windows Server 2003 サーバーの場合:

    コントロール パネルで、[プログラムの追加と削除] をダブルクリックし、[Windows コンポーネントの追加と削除] をダブルクリックします。

    Windows コンポーネント ウィザードが起動します。

    [ネットワーク サービス] をクリックし、[詳細] をクリックします。

    COM インターネット サービス プロキシ (Windows 2000 サーバーの場合) または RPC over HTTP プロキシ (Windows Server 2003 の場合) チェック ボックスが選択されている場合、サーバーで CIS または RPC over HTTP のサポートが有効になります。

    注: CIS または RPC over HTTP がインストールされているかどうかをリモートまたはプログラムで判断する場合は、Windows 2000 および Windows Server 2003 のインストールで "rpcproxy.dll" を検索することもできます。

コンピューター上の特定のファイルを検索するには、[スタート] をクリックし、[検索] をクリックし、[ファイルまたはフォルダー] をクリックして、検索するファイルの名前を入力します。 ハード ディスクのサイズによっては、検索に数分かかる場合があります。

RPCSS サービスの問題
RPCSS サービスには、DCOM ライセンス認証を処理する欠陥があります。 不正な形式のメッセージの処理が正しくないため、エラーが発生します。 この特定の障害は、DCOM アクティブ化に使用される基になる RPCSS サービスに影響します。このサービスは、UDP ポート 135、137、138、445、TCP ポート 135、139、445、593 でリッスンします。 さらに、CIS または RPC over HTTP が有効になっている場合は、ポート 80 と 443 でリッスンできます。 不正な形式の RPC メッセージを送信すると、攻撃者は任意のコードを実行できるような方法でシステム上の RPCSS サービスを失敗させる可能性があります。

これは RPC エンドポイント マッパーの欠陥ですか?
いいえ - RPC エンドポイント マッパーは RPCSS サービスを DCOM インフラストラクチャと共有しますが、実際には DCOM ライセンス認証インフラストラクチャで欠陥が発生します。 RPC エンドポイント マッパーを使用すると、RPC クライアントは、特定の RPC サービスに現在割り当てられているポート番号を決定できます。 エンドポイントは、ホスト コンピューター上のサービスのプロトコル固有の識別子です。 TCP や UDP などのプロトコルの場合、これはポートです。 名前付きパイプの場合、名前付きパイプ名です。 他のプロトコルでは、他のプロトコル固有のエンドポイントが使用されます。

攻撃者は、これらの脆弱性によって何を実行できるでしょうか。
バッファー オーバーランの脆弱性を悪用した攻撃者は、影響を受けるシステムでローカル システム特権を持つコードを実行できる可能性があります。 攻撃者は、プログラムのインストール、データの変更または削除の表示、完全な特権を持つ新しいアカウントの作成など、システム上で何らかのアクションを実行できる可能性があります。 攻撃者がサービス拒否の脆弱性を悪用した場合、RPCSS サービスがハングして応答しなくなる可能性があります。

攻撃者はどのようにしてこれらの脆弱性を悪用する可能性がありますか?
攻撃者は、影響を受ける TCP/UDP ポート経由で脆弱なサーバーと通信し、特定の種類の形式が正しくない RPC メッセージを送信するプログラムを作成することで、これらの脆弱性を悪用しようとする可能性があります。 このようなメッセージを受信すると、脆弱なシステム上の RPCSS サービスが、任意のコードを実行できるように失敗する可能性があります。 また、影響を受けるコンポーネントにアクセスするには、別のベクトルを使用することもできます。たとえば、システムに対話的にログオンする場合や、脆弱なコンポーネントにパラメーターを渡す別のアプリケーション (ローカルまたはリモート) を使用する場合などです。

誰がこれらの脆弱性を悪用する可能性がありますか?
不正な形式の RPC メッセージを影響を受けるシステム上の RPCSS サービスに配信できるユーザーは、これらの脆弱性を悪用しようとする可能性があります。 RPCSS サービスは、すべてのバージョンの Windows で既定でオンになっているため、これは本質的に、影響を受けるシステムとの接続を確立できるユーザーが、これらの脆弱性を悪用しようとする可能性があることを意味します。

Microsoft Windows NT 4.0 Workstation をまだ使用していますが、サポートされなくなりました。 ただし、このセキュリティ情報にはパッチが適用されています。 なぜでしょうか。
Windows NT 4.0 ワークステーションは、以前に説明したように寿命を迎えました。Microsoft は通常、一般提供されているパッチを提供していません。 ただし、この脆弱性の性質、有効期限がごく最近発生したこと、および現在アクティブに使用されている Windows NT 4.0 ワークステーションの数により、Microsoft はこの脆弱性の例外を作成することを決定しました。 将来の脆弱性のためにこれを行うことは予想されませんが、必要に応じてパッチを生成して利用可能にする権利を留保します。 既存の Windows NT 4.0 ワークステーションをお持ちのお客様は、将来の脆弱性にさらされるのを防ぐために、それらをサポートされているプラットフォームに移行することが優先されます。 Windows デスクトップ製品ライフサイクル のサポートに関する追加情報については <、/https:>https:

Microsoft Windows 2000 Service Pack 2 をまだ使用していますが、サポートされなくなりました。 ただし、このセキュリティ情報には、Service Pack 2 にインストールされる修正プログラムがあります。 なぜでしょうか。
Windows 2000 Service Pack 2 は、既に説明したように有効期限が切れ、Microsoft は通常、一般提供されているパッチを提供していません。 ただし、この脆弱性の性質、非常に最近の有効期限が発生したこと、および現在 Windows 2000 Service Pack 2 を実行しているお客様の数により、Microsoft はこの脆弱性の例外を作成することを決定しました。 将来の脆弱性のためにこれを行うことは予想されませんが、必要に応じてパッチを生成して利用可能にする権利を留保します。 既存の Windows 2000 Service Pack 2 システムをお持ちのお客様は、将来の脆弱性にさらされないように、サポートされているプラットフォームに移行することが優先されます。 Windows デスクトップ製品ライフサイクル のサポートに関する追加情報については <、/https:>https:

MS03-039 パッチがインストールされていないネットワーク上のシステムを検出するために使用できるツールはありますか?
はい - Microsoft は、MS03-039 パッチがインストールされていないシステムの存在をネットワークのスキャンに使用できるツールをリリースしました。 このツールの詳細については、マイクロソフト サポート技術情報の記事 827363を参照してください。

パッチは何をしますか?
この修正プログラムは、渡された情報を適切にチェックするように DCOM 実装を変更することで、この脆弱性を修正します。

回避策:

パッチのテストまたは評価中に、この脆弱性の悪用をブロックするために使用できる回避策はありますか?
はい。 Microsoft では、可能な限り早い機会にパッチを適用するようすべてのお客様に促していますが、暫定的にこの脆弱性を悪用するために使用されるベクトルを防ぐために適用できる回避策がいくつかあります。 回避策によって、考えられるすべての攻撃ベクトルがブロックされる保証はありません。 これらの回避策は、基になる脆弱性を修正するのではなく、攻撃のパスをブロックするのに役立つため、一時的な対策と見なす必要があります。

  • ファイアウォールで UDP ポート 135、137、138、445、TCP ポート 135、139、445、593 をブロックし、影響を受けるシステムでポート 80 と 443 をリッスンする COM Internet Services (CIS) と RPC over HTTP を無効にします。

    これらのポートは、リモート コンピューターとの RPC 接続を開始するために使用されます。 ファイアウォールでブロックすると、ファイアウォールの背後にあるシステムがこれらの脆弱性を悪用しようとして攻撃されるのを防ぐことができます。 また、リモート コンピューター上の他の特別に構成された RPC ポートも確認してブロックする必要があります。

    有効な場合、CIS と RPC over HTTP では、DCOM 呼び出しを TCP ポート 80 (XP および Windows Server 2003 では 443) 経由で動作できます。 影響を受けるすべてのシステムで CIS と RPC over HTTP が無効になっていることを確認します。

    CIS を無効にする方法の詳細については、マイクロソフト サポート技術情報の記事 825819を参照してください。

    RPC over HTTP の詳細については、次を参照してください https://msdn2.microsoft.com/library/Aa378642。

  • インターネット接続ファイアウォール (XP および Windows Server 2003 でのみ使用可能) などの個人用ファイアウォールを使用し、影響を受けるコンピューター 、特に VPN などを使用して企業ネットワークにリモートで接続するマシンで、影響を受けるコンピューターでポート 80 と 443 をリッスンする COM Internet Services (CIS) と RPC over HTTP を無効にします。

    Windows XP または Windows Server 2003 でインターネット接続ファイアウォールを使用してインターネット接続を保護している場合、インターネットからの受信 RPC トラフィックは既定でブロックされます。 影響を受けるすべてのマシンで CIS と RPC over HTTP が無効になっていることを確認します。

    CIS を無効にする方法の詳細については、マイクロソフト サポート技術情報の記事 825819を参照してください。

    RPC over HTTP の詳細については、次を参照してください https://msdn2.microsoft.com/library/Aa378642。

  • IP Standard Edition C フィルターを使用して影響を受けるポートをブロックし、影響を受けるマシンでポート 80 と 443 をリッスンする COM Internet Services (CIS) と RPC over HTTP を無効にします。

    インターネット プロトコル セキュリティ (IPSec) を使用している場合は、Windows 2000 ベースのコンピューターでネットワーク通信をセキュリティで保護できます。 IPSec の詳細とフィルターの適用方法については、Microsoft サポート技術情報の記事 313190 および 813878を参照してください。 影響を受けるすべてのマシンで CIS と RPC over HTTP が無効になっていることを確認します。

    CIS を無効にする方法の詳細については、マイクロソフト サポート技術情報の記事 825819を参照してください。

    RPC over HTTP の詳細については、次を参照してください https://msdn2.microsoft.com/library/Aa378642。

  • 影響を受けるすべてのマシンで DCOM を無効にする

    コンピューターがネットワークの一部である場合、DCOM ワイヤ プロトコルにより、そのコンピューター上の COM オブジェクトが他のコンピューター上の COM オブジェクトと通信できるようになります。 この脆弱性から保護するために特定のコンピューターの DCOM を無効にすることはできますが、これを行うと、そのコンピューター上のオブジェクトと他のコンピューター上のオブジェクト間のすべての通信が無効になります。

    リモート コンピューターで DCOM を無効にした場合、後でそのコンピューターにリモートでアクセスして DCOM を再度有効にすることはできません。 DCOM を再度有効にするには、そのコンピューターに物理的にアクセスする必要があります。

    DCOM を無効にする方法については、Microsoft サポート技術情報の記事 825750 を参照してください。

    注: Windows 2000 の場合、上記の方法は Service Pack 3 以降を実行しているシステムでのみ機能します。 Service Pack 2 以下を使用しているお客様は、後の Service Pack にアップグレードするか、他の回避策のいずれかを使用する必要があります。

パッチの可用性

このパッチのダウンロード場所

このパッチに関する追加情報

インストール プラットフォーム:

  • Windows NT Workstation 4.0 パッチは、Service Pack 6a を実行しているシステムにインストールできます。
  • Windows NT Server 4.0 パッチは、Service Pack 6a を実行しているシステムにインストールできます。
  • Windows NT Server 4.0、ターミナル サーバー エディションのパッチは、Windows NT Server 4.0、ターミナル サーバー エディション Service Pack 6 を実行しているシステムにインストールできます。
  • Windows 2000 パッチは、Windows 2000 Service Pack 2、Service Pack 3、または Service Pack 4 を実行しているシステムにインストールできます。
  • Windows XP 用のパッチは、Windows XP Gold または Service Pack 1 を実行しているシステムにインストールできます。
  • Windows Server 2003 の修正プログラムは、Windows Server 2003 Gold を実行しているシステムにインストールできます。

今後のサービス パックに含める:

この問題の修正プログラムは、Windows 2000 Service Pack 5、Windows XP Service Pack 2、および Windows Server 2003 Service Pack 1 に含まれます。

再起動が必要: はい

修正プログラムをアンインストールできます: はい

置き換えられたパッチ:

この修正プログラムによって提供される修正プログラムは、Microsoft セキュリティ情報 MS03-026 および MS01-048 に含まれる修正プログラムよりも優先されます

修正プログラムのインストールの確認:

注意事項:

なし

ローカライズ:

このパッチのローカライズされたバージョンは、「パッチの可用性」で説明されている場所で入手できます。

その他のセキュリティ パッチの取得:

その他のセキュリティの問題に対する修正プログラムは、次の場所から入手できます。

  • セキュリティ パッチは Microsoft ダウンロード センターから入手でき、"security_patch" のキーワード (keyword)検索を行うことで最も簡単に見つけることができます。
  • コンシューマー プラットフォームのパッチは、Windows Update Web サイトから入手できます

その他の情報:

受信確認

Microsoft は、バッファー オーバーランの脆弱性を報告し、お客様を保護するために Microsoft と協力して、Tenable Network Security から eEye Digital Security、NSFOCUS セキュリティ チーム、Xue Yong Zhi、Renaud Deraison に感謝します。

サポート:

  • マイクロソフト サポート技術情報の記事 824146 この問題について説明し、このセキュリティ情報のリリースから約 24 時間後に利用可能になります。 サポート技術情報の記事は、Microsoft Online サポート Web サイトにあります。
  • テクニカル サポートは、Microsoft 製品サポート サービスから入手できます。 セキュリティ パッチに関連付けられているサポート呼び出しに対する料金はかかりません。

セキュリティ リソース:Microsoft TechNet Security Center Web サイト は、Microsoft 製品のセキュリティに関する追加情報を提供します。

免責事項:

Microsoft サポート技術情報で提供される情報は、いかなる種類の保証もなく"現状のまま" 提供されます。 Microsoft は、商品性と特定の目的に対する適合性の保証を含め、明示または黙示を問わず、すべての保証を放棄します。 Microsoft Corporation またはそのサプライヤーは、Microsoft Corporation またはそのサプライヤーがこのような損害の可能性について通知された場合でも、直接的、間接的、付随的、派生的、ビジネス上の利益の損失、または特別な損害を含む一切の損害について一切の責任を負いません。 一部の州では、派生的損害または付随的損害に対する責任の除外または制限が認められていないため、前述の制限は適用されない場合があります。

リビジョン：

  • V1.0 2003 年 9 月 10 日: セキュリティ情報が作成されました。

2014-04-18T13:49:36Z-07:00</https にビルド:>