現在地 HOME > 掲示板 > ＩＴ１ > 419.html 　★阿修羅♪

次へ　前へ

Windows Media Playerに深刻なセキュリティ・ホール，任意のプログラムを実行させられる【関連参考資料、今年５月の記事】
http://itpro.nikkeibp.co.jp/free/ITPro/NEWS/20030508/1/

　マイクロソフトは5月8日，Windows Media Player 7.1およびWindows
Media Player for Windows XPに見つかった深刻なセキュリティ・ホール
を公表した。Windows Media Playerをインストールしたパソコンで，細工
が施されたWebページやHTMLメールを閲覧すると，悪意があるプログラム
を送り込まれて，実行させられる恐れがある。深刻度は最悪の「緊急」。
対策は同社が公開するパッチを適用すること。「Windows Update」から適
用できる。なお，Windows Media Player 9は影響を受けない。

　Windows Media Player 7.1/for Windows XP における，「スキン・ファ
イル」のダウンロード処理にセキュリティ・ホールが見つかった。スキン
・ファイルとは，Windows Media Playerの見栄えや機能などをカスタマイ
ズするためのファイルである（拡張子は .WMZ）。

　スキン・ファイルに限らず，インターネットからダウンロードしたファ
イルは，サブフォルダ名がランダムに付けられる「Temporary Internet
Files」フォルダに保存されることになっている。つまり，スキン・ファ
イルをダウンロードさせる側（Webページ作成者やHTMLメール作成者）が，
任意のフォルダに保存させることはできない。

　ところが，今回見つかったセキュリティ・ホールを悪用すると，Webペ
ージやHTMLメールに細工を施したURLを仕込むことで，攻撃者が指定した
フォルダへスキン・ファイルを保存させることが可能となる。しかも，拡
張子が .WMZではないファイル（例えば，.EXEや.DLL）を，スキン・ファ
イルに見せかけてダウンロードおよび保存させることができる。

　セキュリティ・ホールを悪用しても，保存させたファイルを攻撃者が直
接実行することはできない。しかしながら，例えば「スタートアップ」フ
ォルダに保存させることで，次回の起動時に実行させることが可能となる。
つまり，ウイルスなどの悪意があるプログラムを知らないうちにダウンロ
ードさせられて，知らないうちに実行させられる恐れがあるのだ。

　ユーザーに実行させる方法はこれだけではない。セキュリティ・ホール
を発見したフィンランド「Online Solutions」の情報によれば，今回のセ
キュリティ・ホールはさまざまな方法で悪用できるとしている。

　マイクロソフトが深刻度を「緊急」に設定している通り，Windows
Media Player 7.1あるいはWindows Media Player for Windows XPがイン
ストールされているパソコンのユーザーにとっては，とても危険なセキュ
リティ・ホールである。早急にパッチを適用して対策を施す必要がある。

　パッチはマイクロソフトのセキュリティ情報ページからダウンロードで
きるとともに，Windows Updateからも適用できる。Windows Media Player
7.1のパッチはWindows 98/98SE/ME/2000 に，Windows Media Player for
Windows XPのパッチはWindows XPに適用できる。

　なお，Windows Media Player 9は今回のセキュリティ・ホールの影響を
受けない。また，7.1 よりも古いバージョンについてはサポート対象外な
のでテストしておらず，影響を受けるかどうか分からないとしている。

【5月13日追記】マイクロソフトは5月12日，セキュリティ情報ページを更
新し，Media Player 6.4は影響を受けないことを追記した。【以上，5月
13日追記】

◎参考資料
◆「MS03-017: Windows Media Player スキン ダウンロードの問題により，コードが実行される (817787)」に関する要約情報（マイクロソフト）
◆Microsoft Security Bulletin MS03-017　Flaw in Windows Media Player Skins Downloading could allow Code Execution (817787)（米Microsoft）
◆Directory traversal bug in Windows Media Player（フィンランドOnline Solutions）
◆Windows Media Player スキン ダウンロードの問題により，コードが実行される (817787) (MS03-017)（マイクロソフト）

（勝村　幸博＝IT Pro）

　次へ 　前へ

ＩＴ１掲示板へ

フォローアップ:

　

　

　

　

拍手はせず、拍手一覧を見る

---

★登録無しでコメント可能。今すぐ反映　通常 ｜動画・ツイッター等 ｜htmltag可（熟練者向）
（タグCheck ｜タグに'だけを使っている場合のcheck ｜checkしない）（各説明）

（←ペンネーム新規登録ならチェック）
↓ペンネーム（2023/11/26から必須）

↓パスワード（ペンネームに必須）

（ペンネームとパスワードは初回使用で記録、次回以降にチェック。パスワードはメモすべし。）
↓画像認証
（ 上画像文字を入力）
ルール確認＆失敗対策
画像の URL (任意):

投稿コメント全ログ 　コメント即時配信 　スレ建て依頼 　削除コメント確認方法

---

★阿修羅♪　http://www.asyura2.com/ 　since 1995
　題名には必ず「阿修羅さんへ」と記述してください。
掲示板,ＭＬを含むこのサイトすべての
一切の引用、転載、リンクを許可いたします。確認メールは不要です。
引用元リンクを表示してください。