シマンテック、今度は「Vista」のUACで脆弱性を指摘

　「Windows Vista」のネットワーキング技術について問題点を指摘したSymantecのセキュリティ研究者らが、今度は同OSの初期バージョンをターゲットに、権限昇格機能を狙った攻撃を実施した。

　Vistaに関する2件目の報告書において、Symantecは、「User Account Control（UAC）」という同OSのセキュリティ機能を調査した。UACは、Vistaを稼働するPCで利用できるユーザー権限を制限することで、管理者モードで動くPCに比べて悪意あるコードから受けるダメージを小さくする。Windows XPでは管理者モードが一般的な設定となっている。

　「Attacks against Windows Vista's Security Model」と題された同報告書の中で、Symantecのプリンシパルセキュリティリサーチャー、Matthew Conover氏は、「実装上の脆弱性を複数発見した。これらの脆弱性により、マシン全体が危険にさらされる可能性がある」と書いている。Symantecの関係者によると、同社は先週、この報告書を顧客に配布しており、Vistaが出荷される前に一般公開する予定という。

　Conover氏らは同報告書で、2006年2月にリリースされたVistaについて調査している。報告書では、Vistaを稼働するPCの制御を「Internet Explorer（IE）7」を使って奪う方法を説明している。IE 7は、Microsoftが強化を進めている最新のウェブブラウザで、現在ベータ版が提供されている。Vistaの正式版は、2007年1月以降に一般提供される見込みだ。

　Symantecの研究者らが実施した攻撃は、Vistaを稼働するPCで偽のウェブサイトを訪れると悪意あるファイルがPCにインストールされる、というもの。悪意あるファイルは、ActiveXコントロールという特別に作成されたウェブプログラムがセキュリティ上の脆弱性を突くことで設置される。報告書では、その後、悪意あるプログラムがどのようにして権限を獲得し、最終的には攻撃者がPCを完全に操作できるようになるかが記述されている。

　Symantecの報告書で特定されている問題の大部分について、Microsoftは既に解決していると、同社関係者は声明で述べている。「Windows Vistaの初期バージョンの問題を強調することは、そのUAC機能の品質と底深さを正確に表わすことにならない」（同関係者）。

　さらに、Symantecの調査ではユーザーが管理者アカウントでログインするという仮定になっているが、そのような設定を推奨していないとMicrosoftは述べる。その代わりに、標準のユーザーアカウントを使用することを同社では推奨している。このアカウントでは、例えばソフトウェアのインストールなどの作業において、パスワードを入力し、管理者レベルの特権を獲得する必要がある。