MS06-049 副作用 (NTFS 圧縮ファイルが「壊れる」) まとめ

　MS06-049 パッチ (920958) をインストールすると、NTFS 圧縮したファイルが「壊れる」ことがある話のまとめ。 (暗号化の場合も該当するという報告もあります)

対象となる OS

　Windows 2000 SP4 + MS06-049 パッチ (920958)

情報源

　日本語:

oopsの日記 (slashdot.jp)。最初の報告者。
■□NTFSですな？いまだにFATですか？□■ (2ch.net)。 #47 以降を参照。
9月の月例パッチは3件、緊急を含む (slashdot.jp)
Windows2000のパッチ適用によるNTFS破損の不具合が修正される (slashdot.jp)
MS06-049［重要］：Windows カーネルの脆弱性により、特権が昇格される (hotfix report BBS)

　英語:

再現方法例

NTFS パーティションにフォルダを作成する
そのフォルダで NTFS 圧縮を有効にする
Windows 2000 インストール CD を CD-ROM ドライブにセットする
Windows 2000 インストール CD 内の全ファイルを、作成したフォルダにコピーする
両者を比較する

　比較例: 左が NTFS 圧縮なもの、右が CD のもの。表示に使っているのは HashTab Shell Extension。

回避方法

　MS06-049 パッチ (920958) をアンインストールする。

対応方法

　MS06-049 パッチ (920958) の新版を適用する。あるいは、修正プログラムをダウンロードして適用する。ただし、「壊れた」ファイルを救出してからにした方がよいだろう (後述)。

「壊れた」ファイルを見つけるには?

　147-win/1151414872 氏作成の findcorr を利用するとよい。使い方:

C:\> findcorr.exe
Usage: findcorr [-a] [-d] [-e] path

Options:
         -a      Scan all files including uncompressed files.
         -d      Report compression directories.
         -e      Exact mode.

　findcorr.lzh はこまめに更新されているので、最新版を利用されたい。

「壊れた」ファイルを修復するには?

　~~修復できない。バックアップから戻すしかない。~~ 複数の方法がある。

FreeBSD 6.1-RELEASE で mount し、読み出す。 NetBSD 3.0.1 でも読み出せたとの報告がある。
ntfstools に 599 (2ch.net) と 611 (2ch.net) の patch をあてて作成した ntfscat を使って読み出す。

　読み出した後で MS06-049 パッチ (920958) の新版を適用して再起動し、読み出したファイルで上書きするとよいだろう。

　■□NTFSですな？いまだにFATですか？□■ (2ch.net) の 443 以降を参照。

NTFS 圧縮がデフォルトで有効になっているフォルダ

　NTFS 圧縮がデフォルトで有効になっているフォルダは以下のとおり。

パッチをインストールすると作成される、バックアップフォルダ。

パッチをインストールすると、C:\WINNT\$NtUninstallKB920958$ のような名前のフォルダが作成され、旧ファイルはそこにバックアップされる。このフォルダは自動的に NTFS 圧縮される。これは仕様であり、しかも無効にできない。
DLL キャッシュフォルダ (%windir%\system32\dllcache)。

　NTFS 圧縮なんて使っていないから安心、と思ってはいけない。

問題が発生しない状況

　以下の場合にはこの問題は発生しない。

FAT を使っている場合 (あたりまえ)。
NTFS を、4096 バイトより大きいクラスタサイズで使用している場合 (NTFS 圧縮ができない)。参照: KB140365: FAT および NTFS のデフォルトのクラスタサイズ