マイクロソフト セキュリティ情報 MS04-001

技術的な説明 :

Microsoft ISA Server 2000 の H.323 フィルタにセキュリティ上の脆弱性が存在し、それにより、攻撃者が Microsoft ISA Server 2000 の Microsoft Firewall サービスでバッファをオーバーフローさせる可能性があります。攻撃者はこの脆弱性を悪用し、Microsoft Firewall サービスのセキュリティ コンテキストで任意のコードを実行し、その結果攻撃者により、そのコンピュータの完全制御が取得される可能性があります。H.323 フィルタは統合モードまたはファイアウォール モードでインストールされた ISA Server 2000 コンピュータで既定で有効となります。

問題を緩和する要素 :

• H.323 フィルタを無効に設定することにより、攻撃の可能性を低減します。
• キャッシュ モードで実行される ISA Server では、Microsoft Firewall サービスが既定で無効に設定されているため、この脆弱性による影響はありません。

深刻度 :

上記の評価はこの脆弱性の影響を受けるシステムの種類、システムの典型的な展開形式およびこの脆弱性がシステムに及ぼす影響に基づいています。

脆弱性識別番号 :

CAN-2003-0819

マイクロソフトは次の回避策のテストを行ないました。これらの回避策は根本的な脆弱性を修正しませんが、既知の攻撃の方法を阻止する手助けとなります。回避策は機能の低下の原因となる場合もあります。その場合、下記に記した方法をご確認ください。

• H.323 フィルタを無効に設定:

  H.323 フィルタを無効にするには、以下の操作にしたがってください。

  • ISA 管理ツールを開きます。
  • [拡張] を展開します。
  • [アプリケーション フィルタ] をクリックします。
  • H.323 フィルタを選択し、[無効] をクリックします。
  • Microsoft Firewall サービスの Windows コンポーネントを再起動します。

  回避策の影響 :

  H.323 フィルタを無効にした場合、H.323 トラフィックが Microsoft Firewall サービスによってブロックされます。これにより、IP テレフォニーに H.323 プロトコルを使用するすべてのアプリケーションを停止させ、データ コラボレーションが ISA サーバーを介して通信できなくなります。H.323 トラフィックが ISA サーバーによって保護されているネットワークによって使用されない場合、H.323 フィルタとそのほかの使用していないフィルタを無効にし、セキュリティおよびパフォーマンスを向上させることを推奨します。たとえば、 Netmeeting などのアプリケーションを利用し、 H.323 による通信を ISA Server を経由して利用している場合には、影響が発生します。

• 境界またはゲートウェイルータで TCP ポート 1720 をブロック:

  H.323 フィルタは、既定で外部の TCP ポート 1720 のみをリッスンします。このポートを境界ルータでブロックすることにより、ISA サーバーがインターネット ベースの攻撃から保護されます。

  注 : H.323 フィルタの設定の [呼の制御] タブ の [着信呼を許可する] のチェックをオフにした場合、フィルタが外部の TCP ポート 1720 をリッスンするのを停止することはできず、これは効果的な回避策とは言えません。この動作は、このセキュリティ更新プログラムで変更されており、このセキュリティ情報の「よく寄せられる質問」にて説明しています。

  回避策の影響 :

  ポート 1720 トラフィックがブロックされている場合、IP テレフォニーに H.323 プロトコルを使用するアプリケーションまたはデータ コラボレーションはインターネット上で通信できなくなります。

どのようなことが起こる可能性がありますか?

これはバッファ オーバーランの脆弱性です。攻撃者はこの脆弱性を悪用し、ISA Server 2000 の Microsoft Firewall サービスのセキュリティ コンテキストでコードを実行する可能性があります。攻撃者はこの脆弱性を悪用した場合、そのコンピュータの完全制御を取得する可能性があります。

何が原因で起こりますか?

この脆弱性は H.323 フィルタが特別な細工をした H.323 トラフィックを境界でチェックする方法にあります。

H.323 フィルタとは何ですか?

H.323 フィルタは、ISA Server 2000 によって使用されるアプリケーション フィルタで、H.323 および T.120 プロトコルを使用してトラフィックを監視、制御します。H.323 プロトコルは IP テレフォニ アプリケーションで使用され、オーディオおよびビデオの通信の転送を行います。T.120 プロトコルは、ホワイトボード、ファイル転送、リモート デスクトップ データなどのデータを転送するために IP テレフォニ アプリケーションで使用されます。H.323 フィルタは既定で ISA Server 2000 で有効にされます。

Microsoft Firewall サービスとは何ですか?

ISA Server の Microsoft Firewall サービスにより、Internet アプリケーションがインターネットに直接接続されているかのように利用することができます。これらのサービスは ISA Server に必要な通信機能をリダイレクトし、次にサーバー コンピュータを介し、内部アプリケーションからインターネットへの通信パスを確立します。

このサービスにより、Simple Mail Transfer Protocol (SMTP)、Telnet、File Transfer Protocol (FTP)、または H.323 プロトコルなど、それぞれのプロトコルの特定のゲートウェイの必要性が排除されます。

この脆弱性により、攻撃者は何ができますか?

攻撃者はこの脆弱性を悪用し、ISA Server 2000 の Microsoft Firewall サービスのセキュリティ コンテキストでコードを実行する可能性があります。攻撃者がこの脆弱性を悪用した場合、コンピュータを完全に制御される可能性があります。

このセキュリティ対策プログラムには他のセキュリティ上の変更が含まれますか?

はい。このセキュリティ対策プログラムはまた、H.323 フィルタ設定の [呼の制御] タブの問題が修正されます。このセキュリティ対策プログラムのインストールの前に、H.323 フィルタ設定の [呼の制御] タブの [着信呼を許可する] のチェックをオフにしても、フィルタが外部の TCP ポート 1720 をリッスンするのが停止される設定になりませんでした。このセキュリティ対策プログラムにより、このオプションを選択すると、フィルタが外部の TCP ポート 1720 をリッスンしなくなるように適切に設定されるように修正されます。この設定を有効にするためには Microsoft Firewall サービスを再起動する必要があります。

もしH.323 フィルタにより保護されているネットワークでH.323 トラフィックの発信のみを使用するつもりでしたら、セキュリティの強化のために [着信呼を許可する] を無効にすることを推奨します。

このセキュリティ対策プログラムは何を修正しますか?

このセキュリティ対策プログラムは、H.323 フィルタが H.323 トラフィックを検証する方法を修正し、この脆弱性を排除します。

H.323 Gatekeeper Service をインストールしました。H.323 Gatekeeper Service は、この脆弱性の影響を受けますか?

いいえ。H.323 Gatekeeper Service には、この更新プログラムに関連する脆弱性は含まれていません。しかし、H.323 Gatekeeper Service がコンピュータにインストールされている場合、この更新プログラムにより、更新されたバージョンの gksvc.dll がインストールされます。H.323 Gatekeeper Service は既定でインストールされません。

この更新プログラムのインストール後に H.323 Gatekeeper Service をインストールした場合、更新プログラムを再度インストールする必要がありますか?

はい。セットアップ コンポーネントを再度インストールした場合、すべての更新プログラムを再度適用する必要があります。

対象プラットフォームおよび必要条件 :