この更新プログラムには、ほかのセキュリティ更新プログラムが含まれていますか?
はい。この更新プログラムには、MS02-040 で説明されたセキュリティ上の脆弱性に対する更新プログラムが含まれています。この更新プログラムには MS02-040 で提供された更新プログラムが含まれているので、MS02-040 の修正を適用しようとしているお客様は、このセキュリティ情報で説明されている更新プログラムをインストールしてください。
どのようなことが起こる可能性がありますか?
これはバッファ オーバーランの脆弱性です。攻撃者はこの問題を悪用し、コンピュータ上でブロードキャスト リクエストを開始したアプリケーションと同じレベルのアクセス権を取得する可能性があります。攻撃者がそのコンピュータ上で行う可能性のある操作は、MDAC を使用するアプリケーションを実行している権限によって異なります。
アプリケーションが制限された権限で実行されている場合、攻撃者に実行されうる操作は、その権限に従って制限されます。しかし、アプリケーションがローカル システム コンテキストで実行されている場合、攻撃者によりそれと同等の権限が取得される可能性があります。その結果、攻撃者により、そのコンピュータ上でデータの作成、変更、削除、コンピュータの構成の変更、ハード ディスクの再フォーマット、任意のプログラムの実行などが行われる可能性があります。
何が原因で起こりますか?
ある特定の MDAC のコンポーネントに、未チェックのバッファが含まれるためにこの脆弱性が起こります。攻撃者はこの脆弱性を悪用し、コンピュータの完全な制御を取得し、MDAC を実行している正規のプロセスが行えるすべての操作を実行する可能性があります。
Microsoft Data Access Components とは何ですか?
Microsoft Data Access Components (MDAC) は、簡単にプログラムがデータベースにアクセスし、その中のデータを変更するためのコンポーネントの集合体です。現代のデータベースは、様々な形式を取っており、（例 : SQL Server データベース、Microsoft Access データベース、XML ファイルなど） 様々な場所に配置することができます。 （例 : ローカル システム上、またはリモート データベース サーバー）
MDAC は、それらデータ ソースに対し、一貫した方法でアクセスする機能のセットを統合し、提供します。(MDAC およびそのコンポーネントの詳細は、MSDN をご覧ください。)
該当の MDAC コンポーネントの何が問題になっていますか?
ネットワーク上のクライアント コンピュータが、そのネットワーク上の Microsoft SQL Server のリストを参照しようとすると、ネットワーク上のすべてのデバイスにブロードキャスト リクエストが送信されます。ある特定の MDAC コンポーネントの問題を悪用するため、攻撃者によりバッファ オーバフローを発生させる特別に細工をしたパケットを、応答データとして送信される可能性があります。
この問題は、パケットに含まれるデータがクライアントによって適切に検証されないために起こります。
MDAC はコンピュータにインストールされていますか？
MDAC は広く使用されている技術であるため、ご使用のコンピュータにインストールされている可能性は非常に高いと言えます。
- MDACは Windows XP、Windows Millennium Edition、Windows 2000、Windows Server 2003 の一部としてインストールされます。（しかし、Windows Server 2003 によってインストールされるバージョンには、この脆弱性は存在しません。）
- MDAC はマイクロソフト Web サイト からダウンロードできます。
- MDAC は、その他の多くのマイクロソフトのアプリケーションによってインストールされます。たとえば、MDAC は Windows NT® 4.0 Option Pack の一部として、または Microsoft Access および SQL Server によってインストールされます。
- MDAC の中のコンポーネントの中には、マイクロソフトのその他の多くの技術に含まれているものがあります。たとえば、Internet Explorer にはいくつかの MDAC の機能が含まれます。
ご使用のコンピュータ上で実行されている MDAC のバージョンを確認するために、ツールを利用することができます。マイクロソフト サポート技術情報 307255 に詳細および使用方法が説明されています。
この脆弱性により、攻撃者は何ができますか?
この脆弱性により、攻撃者は、クライアント システム リクエストに不正な User Datagram Protocol (UDP) パケットで応答し、それによりバッファ オーバーランが発生する可能性があります。
攻撃者によりこの脆弱性が悪用された場合、コンピュータ上でオーバーランのプロセスによって行われるすべての任意の操作が実行される恐れがあります。
攻撃者はどのようにこの脆弱性を悪用する可能性がありますか?
攻撃者は、クライアント コンピュータのためにネットワーク上で待ち受けているSQL Server を装い、SQL Server を実行する特定のネットワーク上のすべてのコンピュータを列挙するリクエストを行うことによって、この脆弱性を悪用しようとする可能性があります。攻撃者がそのようなリクエストに特別な細工をしたパケットを返信することにより、クライアント コンピュータ上のある特定の MDAC コンポーネントで、バッファ オーバーランが発生する可能性があります。
更新プログラムは何を修正しますか?
この更新プログラムは、その返信に指定されたバイト数が適切な値であるかを検証するように修正し、この脆弱性を排除します。
更新プログラムを適用すると以下のエラーが表示されますが、対処方法はありますか？
An error occurred while setup was trying to verify the version of Microsoft Data Access Components currentry installed on the machine.
Either the version currently installed does not match the version of this hotfix package, or setup was unable to determine the version currently installed.
An error occurred during setup.
For more information you can look at the log file: %windir%\dahotifx.log.
You may need to contact your product support representative.
「対象プラットフォーム」欄に記載の MDAC がインストールされていないコンピュータに、更新プログラムを適用しようとした場合に発生します。更新プログラムの適用前に、「対象プラットフォーム」欄に記載の MDAC をインストールする必要があります。
MDAC のバージョンはどのように確認できますか？
現在インストールされているバージョンを確認するには、マイクロソフト サポート技術情報 301202 の「レジストリに保存されたバージョン情報を確認する」が利用できます。また、各 MDAC バージョンの一覧は、Universal Data Access の Web サイトで確認することができます。
