パスワードを忘れた？ アカウント作成
Close
6091 story

Windows 98以降のHTMLコンバータに深刻な脆弱性 43

ストーリー by yourCat
でっかいHR 部門より

umq曰く、"Windows 98以降の全てのWindowsに、HTML コンバータ (HTML32.cnv) にバッファ オーバーラン脆弱性が発見された (MS03-023)。アタッカーが任意のコードを実行でき、乗っ取りに成功すれば、任意のプログラムが実行されたり、攻撃者が任意のデータを閲覧することも可能という。修正プログラムへはWindowsUpdateまたはKB823559からたどることができる"

[更新: 2003年7月11日 11:30 JST] Windows NT 4.0-XPにてリモートからデータを破損させる脆弱性 (MS03-024)、ならびにWindows 2000にてローカルで上位権限を取得される脆弱性 (MS03-025) も発表されている。合わせて対応しよう。

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

Windows 98以降のHTMLコンバータに深刻な脆弱性 More

  • メディアの扱い (スコア:2, 興味深い)

    by takmaki (13472) on 2003年07月11日 8時24分 (#356524)
    今朝のTBSラジオを聞いていたら、この件がヘッドラインニュースとして読みあげられていてた。新聞社のweb上では、産経新聞でトップ、日経新聞でITコーナーに報じられていた。
    Windowsからセキュリティホールが出るのは(緊急性最高のものも含めて)日常茶飯事なのに、今回だけ結構取り扱いが大きいのは何か理由があるのか、わからないが、まあ一般利用者への告知効果という点ではありがたいことです。

    • Re:メディアの扱い (スコア:0)

      by Anonymous Coward
      http://www.cyberpolice.go.jp,http://www.jpcert.or.jp/,http://www.ipa.go.jp/と見てみましたが、掲載されていたのは@policeだけでした。JPCERTの緊急報告は2003年3月が最新のようで、IPAには気配すらなし。@police（警察庁？）は、7月10日の日付入りでMS03-023,024,025が紹介されていました。

      • Re:メディアの扱い (スコア:0)

        by Anonymous Coward
        #356541です。IPAには情報が掲載されていました。私の不注意です。/security/のところを見損ねていました。ごめんなさい。
        で、改めて
        @police [cyberpolice.go.jp]記事あり
        IPA [ipa.go.jp]記事あり
        JPCERT [jpcert.or.jp]記事なし
        でした。

    • Re:メディアの扱い (スコア:0)

      by Anonymous Coward
      今回よく報道されているのは、 ちょうどその時期に他の大きなニュースがなかったからです。

    • 最近の傾向 (スコア:0)

      by Anonymous Coward
      最近は「緊急」レベルの情報は新聞に載ります。
      まぁ、一面に載るかどうかは他の方が仰る通り、
      他に大きな話題があるかどうかが大きいでしょうけど...。

      「Windowsの脆弱性」というものが、
      社会的な影響があると認められてきたと言う事ではないでしょうか？

      • Re:最近の傾向 (スコア:1, すばらしい洞察)

        by Anonymous Coward on 2003年07月11日 10時14分 (#356591)
        ゼイジャクセイ、なんて言葉は駆逐されつつああるような。
        きっとITな世界で生活していない人たちには、「深刻さ」が伝わらないということに気づき始めたのでは、と思います。

        今朝の日経でもそうですが、「ウィンドウズに欠陥」と見出しが出てます。
        まさに、ケッカンという言葉は日本語への回帰だなあと。

        ゼイジャクセイなんて言葉が象徴するような、「意味不明」なニュアンスが多いコンピューターな世界。
        これがもっと変わっていくことを、望んでやみません。

        #MacやWinを使ってる人たちで、ユーザーグループってのもおかしいなあ。「消費者団体」だと思ふのだが。
        #LinuxとかBSDだと、「使用者団体」でいいとは思うんだけど。
        シェア
        親コメント

        • 欠陥、と出ていたのですか？

          欠陥、と言うのは、妥当な表現と言えるのでしょうか？確かに欠陥には違いないのでしょうが、欠陥という言葉には、消費者団体が騒ぎかねないくらいに強い印象を受けます。

          もっとも、バグのないソフトウェアは存在しない、というのは、一般論であって、安易に発言すべきではないのかもしれませんが。。。

          --
          むらちより/あい/をこめて。
          シェア
          親コメント
          • > 欠陥、と出ていたのですか？

            yahoo.jpのヘッドラインでも、同様でした。

            大辞林によれば、「欠陥：必要なものが欠けていること。不備・不足のあるもの。欠点」です。
            まさに今回の出来事は、「ウィンドウズに欠陥があった
            • 要アップデート、というのは実はリコールと似たような話だよなあ、とか思ってみたり。
              シェア
              親コメント
              • その修正をユーザーが自分でインターネット等で確認し、修正プログラムをユーザーの費用（通信代等）で入手しなければならないのが常識というのだからパソコンの世界はとんでもないですねぇ。
                重大な欠陥ならMSが各企業や家庭に無償でCDを送るべきですね。
                もっとも、それを容認しているユーザー側の問題も大きい気がするが。
              • >重大な欠陥ならMSが各企業や家庭に無償でCDを送るべきですね。

                同感、得に「起動でき無い」や「インタネットに繋がらなくなった」
                これに関しては速達で送る必要があると思いますね。

                #落ちていくＭＳ様...独占と信頼は別だった... 信頼なくしてビジネスに成功なし
              • まあ安物だからね。
                面倒見てほしければ保守契約しろってこった。
          • 欠陥に違いないのなら欠陥でいい。
            欠陥じゃないのに欠陥と書いてたら指摘せよ。
          • > 欠陥という言葉には、消費者団体が騒ぎかねないくらいに強い印象を受けます。

            おおいに騒いでもらって結構。
            陽気にはしゃげばセクシー。だからな。

            わざわざ欠陥を他の言葉に置き換えるような欺瞞は
            そろそろやめにしましょうや。
            誰のためにもならない。

          • 欠陥は妥当 (スコア:0)

            by Anonymous Coward
            ＞欠陥、と言うのは、妥当な表現と言えるのでしょうか？
            ＞確かに欠陥には違いないのでしょうが、
            ＞欠陥という言葉には、消費者団体が騒ぎかねないくらい
            ＞に強い印象を受けます。

            #ZDで連発してますが…
            #開いた口が塞がってしまったのでAC

            過去ZDで「欠陥」が使われた記事 [zdnet.co.jp]
            763件
            マイクロソフト様　「欠陥」＋「マイクロソフト」 [zdnet.co.jp]
            84件

            Google
            「欠陥」＋「マイクロ
          • 一応、朝日も載ってたので
            「ウィンドウズ９８以降のＯＳ全バージョンに欠陥」 [asahi.com]

            それでも、うちのオヤジどもはイマイチ意味が飲み込めないらしい…

        • Re:最近の傾向 (スコア:1)

          by yohata (11299) on 2003年07月11日 14時05分 (#356738)
          マスコミさん的には、それでもまだまだ抽象的で解りづらいと考えていらっしゃるようで。先ほど街頭でみた電光掲示板ニュース曰く

          「Windowsにメールや写真が消える問題」

          いや、まー嘘じゃないけどさ。
          シェア
          親コメント

    • Re:メディアの扱い (スコア:0)

      by Anonymous Coward
      こういうチョンボ [microsoft.com]をしでかしてしまったので、注目されてしまったのではないでしょうか？
  • サポート対象外だけど
    --

    --
    Ath'r'onならfloatあたりに自信が持てます
    • 　日経 IT Pro [nikkeibp.co.jp] の ITPro ニュース:Windowsに3種類の深刻なセキュリティ・ホール，すべてのユーザーが対策を [nikkeibp.co.jp]によると、
      　すべてのWindowsに含まれるコンポーネントの一つ「HTMLコンバータ」にバッファ・オーバーフローのセキュリティ・ホールが見つかった。HTMLコンバータとは，他のファイル形式（RTF）をHTMLとして表示したり，保存したりするコンポーネントである（HTMLをRTFに変換する機能も備える）。このHTMLコンバータに細工が施されたデータが渡されると，バッファ・オーバーフローが発生し，データに含まれた任意のコードを実行させられる恐れがある。

      　HTMLコンバータには，Internet Explorer（IE）やOutlook／Outlook Express経由でデータを渡すことが可能である。つまり，細工が施されたWebページやHTMLメールを閲覧すると，任意のコードを実行させられる危険性がある。
      だそうです。

      　ということは HTML レンダリングエンジンが Windows と密結合されていない Windows 95 (IE のバージョンは 3.0 以前) であれば、IE そのものや IE コンポーネントを使用するアプリケーションを避けていれば思わぬところで地雷を踏まされる危険は低そうに思います。

      　興味深いのは同記事の続きに書かれている
      　米Microsoftの情報によれば，Windowsに含まれる「HTML32.cnv」ファイルを別名（例えば，「HTML32.old」など）に変更することでも回避できる。ただし，Microsoft FrontPageを使っている場合などには，HTML32.cnvの名前を変更すると，エラー・メッセージが表示される場合があるので注意が必要である。
      です。これは IE や Outlook の設定変更による対策よりはグローバルに影響するでしょうし、パッチが提供されていない、あるいはパッチの適用を (当面) 見送りたい Windows で凌ぐ方法としては悪くないんじゃないでしょうか。IT Pro からもリンクされている米 Microsoft の MS03-023 情報 [microsoft.com]ではこの方法が書かれていますが、コメント投稿時点ではマイクロソフトの MS03-023 情報 [microsoft.com]では触れられておらず、残念に思います。

      　IT Pro の記事では IE や Outlook の設定変更で回避する手法についても触れられていますし、マイクロソフトのページの情報を転載しているだけに近い Internet Watch や ZDNet エンタープライズの記事よりも参考になりましたので読まれていない方は目を通しておくといいかもしれません。(コメント投稿時点ではユーザ登録 (無料) していなくても読めるようです)
      シェア
      親コメント
    • バージョンチェックで弾かれるので、
      アーカイバを使って解凍して中身を確認してみました。

      1998un.inf
      2222un.inf
      823559up.inf
      98G_chk.INF
      98SE_chk.INF

      Advpack.dll　4.72.3612.1700
      msconv97.dll　2003.1100.5426　Microsoft Conversion Library
      W95inf16.dll　4.71.704.0　WExtract 16bit Library
      W95inf32.dll　4.71.0016.0　W95INF32
      html32.cnv　2003.1100.5426 Microsoft HMTLコンバータ

      qfecheck.exe　4.10.1998　Windows 98 Update Information Tool
      qfecheck.hlp

      ファイルの詳細を余りよく判ってませんのでこの辺で。
      シェア
      親コメント
      • 誰でも知ってるよーなことを書きますが
        W95inf16.dll 4.71.704.0 WExtract 16bit Library
        W95inf32.dll 4.71.0016.0 W95INF32
        Advpack.dll 4.72.3612.1700
        この3つはインストーラのスクリプト走らすのに必要なファイル。

        1998un.inf
        2222un.inf
        823559up.inf
        98G_chk.INF
        98SE_chk.INF
        これがインストーラスクリプトの本体

        html32.cnv 2003.1100.5426 Microsoft HMTLコンバータ
        多分修正モジュール

        qfecheck.exe 4.10.1998 Windows 98 Update Information Tool
        qfecheck.hlp
        …なんだっけコレ(汗
        シェア
        親コメント
        • 暇なので調子に乗ってみる。
          msconv97.dll
          html32.cnv
          修正モジュールは上記2つです。

          823559up.infはスクリプトのmain()です。以下の2つを順番に実行するだけ。
          内容は殆ど同じというかバージョンによって片方だけ走るっぽい。
          98G_chk.INF 98一般用
          98SE_chk.INF 98SE用
          ・修正対象モジュールを.qfeにリネーム
          ・修正モジュールをコピー
          ・アンインストール用infをレジストリに登録
          ・インストール済みチェッカで検出されるようにレジストリをごにょごにょ、等々

          アンインストール時にキックされるスクリプト。どっちか一つが登録されるっぽい
          1998un.inf
          2222un.inf

          以下はインストール済みかどうかのチェッカでした。
          qfecheck.exe 4.10.1998 Windows 98 Update Information Tool
          qfecheck.hlp

          #95が無いのでまじめにスクリプト読んでも試せないス私。
          シェア
          親コメント
    • MS03-023 [microsoft.com]
      テストしたバージョン :
      マイクロソフトは Windows 98、Windows 98 Second Edition、Windows Me、Windows NT 4.0 Server、Windows NT 4.0 Terminal Services Edition、Windows 2000、Windows XP および Windows Server 2003 のテストを行い、この脆弱性による影響を評価しました。それ
      • 会社ではさすがに Windows95 は死滅してますが Windows98 は 20% 程度の勢力を占めています。

        で、これが来年早々にメンテ停止と。
        買い換え予算は出てません。
        そういえば Redhat も年内で 7.x 系のメンテが止まりますね。

        来年はワーム/ウイルス祭りの悪寒。

        • RedHat系の救世主 (スコア:2, 参考になる)

          by pantora (11989) on 2003年07月11日 8時31分 (#356527)
          残念ながら、7.x系はサポートされていませんが、
          8, 9系ならば、

          http://www.fedora.us/

          でRedHat用のaptを提供しているようです。
          RedHat Networksとほぼ同時にセキュリティアップデートを
          してくれるんで、RHNが混んでいる時など重宝します。
          --
          PCにECC Registeredメモリの利用を推奨します。
          シェア
          親コメント
        • RH公式のものは無くなるかもしれないけど、たいていのソフトウェアはRPMもあるし、困らないような。
          ｢公式｣のものを求められるような場所では、アレでナニなわけで（以下略
          • Vine Linuxでapt-getによるアップデートをしていて、お気楽 なのですが、RHとMandrakeの複数のバージョンも使っている ため、あるバージョンはそういった自動アップデートシステム があり、あるバージョンはない、と言った具合に混乱してます。

            • Vine Linux (スコア:1)

              by raijin (7091) on 2003年07月11日 19時09分 (#356928)
              Vine Linuxは販売されていますが、基本的には自己責任なので
              サポート止まったとしても、文句は言えません。
              もしサポートほしいのならヴァインカーヴなどにサポート契約を
              結ぶ必要があるでしょう。

              Vineは好きですが、インストール時に細かく設定できないのが
              非常に不満です。
              いろいろ考えると、いつも全部入りになってしまうのですが
              要らないものも多いので。

              最初のインストール時には最小限度で、あとあと追加パッケージ
              マネージャかなんかで追加管理できると便利なんですが。
              X版はいらないんで、Webで管理できるものがいいなぁ...
              ついでに追加したもののアップデートもAptでしてくれると....
              シェア
              親コメント

  • 修正パッチ入手法 (スコア:1, 興味深い)

    by Anonymous Coward on 2003年07月11日 7時53分 (#356515)
    早速配布元リンクへ行ったらば、 MS Windows 上の
    ブラウザでないとの理由で拒否されました。
    できれば Windows でネットに繋ぎたくないんだが。

  • c:\aux (スコア:0)

    by Anonymous Coward on 2003年07月11日 4時51分 (#356488)
    Internet Explorer 6が「c:\aux」でフリーズするバグ [zdnet.co.jp]
    こちらも忘れていないか？
typodupeerror

「科学者は100%安全だと保証できないものは動かしてはならない」、科学者「えっ」、プログラマ「えっ」