Return-Path: MS_Security@mspj.co.jp From: MS_Security@mspj.co.jp Message-Id: <200006191436.XAA06084@rins.st.ryukoku.ac.jp> Date: Mon, 19 Jun 2000 23:38:10 +0900 To: kjm@rins.ryukoku.ac.jp Subject: Microsoft(R) Security Bulletin Japanese Edition (MSKK2000-67) MIME-Version: 1.0 X-Mail-Agent: BSMTP DLL Jul 10 1999 by Tatsuo Baba Content-Type: text/plain; charset=ISO-2022-JP 以下は、マイクロソフト株式会社が発行するセキュリティ情報です。 ********************************************************* Microsoft(R) Security Bulletin Japanese Edition (MSKK2000-67) -------------------------------------- "デスクトップの分割による脆弱性" の問題に対する英語版修正プログラムをリリース 概要 ======== マイクロソフトは、Microsoft(R) Windows(R) 2000 の脆弱性 を排除する英語版修正プログラムをリリースしました。この脆 弱性により、対話的にログオンできるマシンで、悪意のあるユ ーザーが権限を高めることができてしまう場合があります。 この脆弱性に関してよく寄せられる質問については、次のサイ トをご覧ください。 http://www.microsoft.com/technet/security/bulletin/fq00-020.asp (英語サイト) 日本語版修正プログラムは現在準備中です。準備が出来次第、 本ページでご案内いたします。 問題の内容 ================ Windows 2000 のセキュリティ モデルでは、プロセスを分ける ためコンテナ オブジェクトを階層化しています。ひとつのセ ッションには、セキュリティ制御を行うウィンドウ ステーシ ョン コンテナが 1 以上含まれ、それぞれのウィンドウ ステ ーションには、プロセスをカプセル化するデスクトップが 1 以上含まれています。仕様では、プロセスはひとつのウィンド ウ ステーション内で、またプロセスに含まれるスレッドは 1 以上のデスクトップ内で実行されるよう設計されており、ひ とつのウィンドウ ステーションで実行されているプロセスが 別のウィンドウ ステーションのデスクトップにアクセスでき るべきではありません。しかし実装段階の障害により、特定の 環境で悪意のあるユーザーが別のデスクトップでプロセスを生 成できてしまう場合があります。したがって同一セッション内 のデスクトップで実行されている入出力処理を、低い権限を持 つユーザーのプロセスから参照できてしまう場合があります。 これにより、パスワードなどの情報が侵害されてしまう場合が あります。 これは、同一セッション上で実行されているプログラムだけに 影響を与えます。したがって悪意のあるユーザーは対話的にロ グオンしているローカル マシンのプロセスだけを妨害できま す。推奨されるセキュリティ設定が行われている環境において は、通常セキュリティの保護を必要とするサーバーにユーザー が対話的にログオンできることはないため、ドメイン コント ローラ、ファイル/プリント サーバー、ERP サーバーやデータ ベース サーバーなどが影響を受けることはありません。また 他のセキュリティ設定を行うことにより、悪意のあるユーザー がこの脆弱性を侵害することのできるプロセスを生成すること を阻止することができます。なお、Windows 2000 Terminal S ervers においては、ユーザーがそれぞれでセッションを確立 するためこの脆弱性の影響を受けません。 影響を受けるソフトウェアのバージョン ======================================== - Microsoft Windows 2000 Professional - Microsoft Windows 2000 Server - Microsoft Windows 2000 Advanced Server 英語版修正プログラムの入手方法 ================================== - http://www.microsoft.com/Downloads/Release.asp?ReleaseID=20836 注: 既知の互換性の問題のため、Microsoft 管理コンソール (MMC) で管理されているクラスタ化された Windows 2000 シス テムには、この修正プログラムを適用しないでください。 ********************************************************* 本メールはマイクロソフト プロダクト セキュリティ 警告サービス 日本語版 のご購読者登録に基づいて送信されたものです。 本サービスのご購読を中止するには、 MS_Security@mspj.co.jp に件名(Subject)を「Delete」としたメールを 送信してください。（本文には何も記入しないでください。） 本サービスに関する情報は http://www.asia.microsoft.com/japan/security/bulletin.htm でご覧いただけます。 また、マイクロソフト製品のセキュリティ関連の情報は http://www.asia.microsoft.com/japan/security/ でご覧いただけます。