著名研究者が発表したWindows脆弱性に攻撃出回る

　Googleの研究者Tavis Ormandy氏が、Windows XPとWindows Server 2003に影響がある重大な脆弱性の詳細を公開してからわずか5日後、マルウェア制作者はこのセキュリティホールを悪用してWindowsマシンにマルウェアを送り込む攻撃を始めた。

　このMicrosoftが「限定的」なものだと説明している攻撃は、細工されたウェブサイトを通じて配布されている（自動ダウンロード攻撃）。

　Microsoftのセキュリティレスポンスセンターは、「これまでに分析した攻撃のサンプルによれば、Windows Server 2003の顧客は、現在Win Helpの問題の影響を受けていない」としている。

　この攻撃はHCPプロトコルを有効にしているWindows XPマシンだけを対象としたものであり、有名なGoogleの研究者であるOrmandy氏が、このセキュリティホールに関する情報を一般に公開した後に起こった。同氏の行動は物議を醸している。

　この問題は、Microsoft Windowsのヘルプとサポートセンターに存在するもので、hcp:// から始まるURIを適切に検証していないことが原因で起こる。この問題を悪用することにより、遠隔の認証されていない攻撃者が、任意のコマンドを実行することができる。

　Ormandy氏は、最近もOracleに危険なJavaの脆弱性を修正させるために、完全な情報公開という強行な手法を使っているが、今回はMicrosoftにこのWindowsの問題を報告したわずか5日後、この問題を利用する攻撃コードを公表した。

　Ormandy氏はゼロデイ脆弱性を発見したことを発表する電子メールの中で、プロトコルハンドラは脆弱性の原因として一般的なものであり、「hcp://」自体が過去に何度も攻撃の対象になっていると述べている。このため、同氏はパッチが提供されていない状態でも情報公開を急ぐべきだと判断したようだ。

　Ormandy氏は、60日以内にパッチを準備するようMicrosoftと5日間「交渉」して物別れに終わった後、悪意のあるハッカーがこの種のセキュリティホールを悪用する可能性を考えて、情報を公開することを決めたと述べている。

この問題の緩和策

　Microsoftはパッチが提供されるまでの間、影響を受けるWindowsユーザーに対し、このページに掲載されている1クリックで適用できる「Fix-It」ツールを使用して、問題となっている「hcp://」プロトコルの登録を解除するよう推奨している。

　またセキュリティアドバイザリにはこれを手動で行うための手順も記載されている（「回避策」参照）。

　回避策の影響として、HCPプロトコルの登録を解除すると、hcp://を使用している、ローカルにあるすべての正規のヘルプに対するリンクが途切れることになる。例えば、コントロールパネルのリンクは使用できなくなる。