パスワードを忘れた? アカウント作成
144542 story
セキュリティ

マイクロソフトのTCP/IP脆弱性修正パッチ、XP用は提供されず 89

ストーリー by hylom
スルー 部門より

あるAnonymous Coward 曰く、

Windows XP SP2/3で発見されたTCP/IPの脆弱性について、これを解決するパッチは提供しないことをマイクロソフトが表明した。この脆弱制は特殊なパケットを大量に送信することでメモリを消費させ、システムの反応を停止させられるというもの(本家/.ITmedia)。

このパッチは9月8日にVista、Windows Server 2003およびWindows Server 2008に向けて提供されたものである。今まで該当するパッチ提供システムリストからWindows 2000 SP4が除外されることはあったが、XPに提供されないというのは今回が初めてとのこと。

MSのセキュリティプログラムマネージャーAdrian Stone氏は「このコードは元をたどれば12~15年前に書かれたものであり、これに対してパッチを提供することは本質的に実現不可能」として両システムをパッチ提供リストから除外した理由を説明した。この脆弱性にはDoS攻撃に対する脆弱性が存在するが、デフォルトでは影響を受けないとのこと。また、DoS攻撃は攻撃用に仕組まれた特別なTCPパケットを大量に、そして持続的に送りつけないと成立しない。そして攻撃を受けたとしても攻撃が止まればシステムは復旧するため、深刻度は最も低い「注意」レベルと設定され、パッチ提供は見送られたそうだ。

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。
  • by wildcard (416) on 2009年09月18日 13時18分 (#1641642)

    主文にリンクされているITMediaの記事にも書かれていますが、
    当案件MS09-048 [microsoft.com]に関してはWindows2000へのパッチ提供も見送られています。

    まあ閉じたネットワークにおける機械制御用ならともかく、
    悪意あるパケットが送られてくるような環境に
    Windows2000を未だに使っているのもどうかと思いますが…
    そもそもそろそろ動く機械は新規に買えなくなってきているし。(VMware等による仮想環境を除く)

    • by Anonymous Coward
      XPやVistaや7は動くけど、Windows2000が動かない機械ってあるの?(MS-DOSが動かない機械は嫌だなあ)
      • by skapontan (35455) on 2009年09月18日 15時43分 (#1641768) 日記
        動作しない例:nVidiaのドライバサイトには、既に2000/9x用がない。
        Win2kSP4(素だと最近のHDDが駄目のはず)がまったく動かないPCはないと思うけど、ちゃんと動作するとはいえない。
        親コメント
        • by Anonymous Coward
          > 動作しない例:nVidiaのドライバサイトには、既に2000/9x用がない。
          > Win2kSP4(素だと最近のHDDが駄目のはず)がまったく動かないPCはないと思うけど、ちゃんと動作するとはいえない。

              README.txt位は確認しましょう。
          現時点の最新ドライバー(190.62)でもWindows2000はサポートされています。
          ダウンロードページのOS選択肢にWindows2000/9xは出てこないので、微妙に
          嘘は言っていませんが。

          >================================================================================
          >NVIDIA Display Driver for Windows 2000/XP
      • by Anonymous Coward
        付属周辺機器のドライバ類が提供されてないハードならありうるかと
        私はそんな古いハードは捨てちゃうので検証できませんけどね
  • by Anonymous Coward on 2009年09月18日 14時49分 (#1641728)

    FreeBSDの例。FreeBSD-SA-03:05 [freebsd.org]は、3.x系への対応が見送られている。ちなみに3.0のリリースは1998年10月、3.x系の最終リリースとなった3.5は2000年6月公開。

    まぁ、FreeBSDの公式なセキュリティサポートは「最終リリースの公開後2年」ということになっているので、ポリシーに反しているわけじゃないけど。

    # この影響でmisc/compat3xが使用禁止になっているのはちょっと困る。
    #(これが無いとWXG for FreeBSDが動かねーんだよ)

  • by motamota (30138) on 2009年09月18日 13時08分 (#1641633)

    12~15年前に書かれたものであり、これに対してパッチを提供することは本質的に実現不可能

    深刻度は最も低い「注意」レベルと設定され、パッチ提供は見送られた

    つまり、今後 Windows XP の TCP/IP に深刻な脆弱性が発見されても、対処は不可能な場合がある訳でしょうか。

    • Re:パッチ不可能 (スコア:2, すばらしい洞察)

      by Anonymous Coward on 2009年09月18日 15時15分 (#1641743)

      Microsoftの言い分をそのまま鵜呑みにするなんて今どき天然記念物並みの純朴さですね。「対処は不可能」は「対処したくない」と読むのですよ。
      今後このような放置が徐々に増えていって、サポート切れ1年くらい前には今のWindows 2000のような状況になるわけです。

      親コメント
      • by haratake (365) on 2009年09月18日 18時23分 (#1641836)

        「対処は不可能」=「対処したくない」は、Microsoftに限らず、ほとんどの開発者にも言えますよね。

        心当たりがたくさんあって困ります。。。

        親コメント
        • by Anonymous Coward

          >Microsoftに限らず、ほとんどの開発者にも言えます

          比較するときは単位を揃えようよ。

          組織しかもデファクトOSを送り出す世界有数の大会社と
          一開発者の思惑がどうして比較対象になるの?
          心情は解るって話と企業の責任とは別の話。
          理解できる職種が限定されるのに一般化してるし。

          Windowsの一般ユーザが影響を受ける不具合指摘をすると、
          Linuxのサーバ用途のアレコレを持ち出す人とかもうね。
          Macを持ち出せば市場的には近いけどシェアから見れば
          90年代初頭と違って全然影響力が及ばなかったりするから
          これも時代錯誤感が漂ってしまう。

          メンテナンスせざるを得ない古い資産をどうするかと

      • by AIMTDL (22183) on 2009年09月18日 23時18分 (#1641934)
        今回の Windows 2000 は保護するためのアーキテクチャ新規作成に伴うシステムの再設計が必要という理由で「対処したくない」のではなく、「既に対処しない期間」でもあるからじゃないの?
        Windows XP も「既に対処しない期間」になっているし。

        と、ここまで自分の考察。
        まぁ、1641743も分からなくもないけれど。

        設計が古いというのが根本にあるようだね。

        セキュリティは深く理解できていない分野なんだけれど、IP 接続が可能な全ての機器は (今回対処された 1 つで) CVE-2008-4609 の問題を抱えてたりするのかな…? 抱えていないという可能性は 0 ではなさそうな様子。
        CVE-2008-4609 の対処は TCP/IP そのものの仕様を変えないといけない様子だし。
        親コメント
      • by Anonymous Coward
        そもそもこのDoSが成立する環境を考えれば、XPを対象外にした理由もわかるでしょう。
        サーバではなくてクライアントとして使う分には影響をまず受けないですよ。

        むしろ頭が痛いのはサーバやってるxSP屋さんの方でしょうね。
        下手すると全サーバのパッチ当てやらカーネルを再構築するハメになりますから。
        規模によってはパッチ当てを放棄してIDPを入れてしまうという解もありかもしれない。
    • Re:パッチ不可能 (スコア:1, すばらしい洞察)

      by Anonymous Coward on 2009年09月18日 13時42分 (#1641670)
      別にXPに限ったことでは。
      親コメント
    • by Anonymous Coward
      セキュリティ対応に限らず、障害対応も重要度に応じて対応の有無は決められてるけどね。
      それだけの話でしょう。

      だいたい、DoS攻撃がクライアントに仕掛けられたら脆弱性以前にハングしませんかね?
      • by Anonymous Coward on 2009年09月18日 14時34分 (#1641714)
        攻撃プログラムが公開されているので検証してみました。
        結果「ハング」はしませんでした。
        タレこみ文にあるとおり、「攻撃を受けたとしても攻撃が止まれば(5秒くらいで)システムは復旧」します。
        親コメント
  • コレの事? (スコア:1, 興味深い)

    by Anonymous Coward on 2009年09月18日 13時47分 (#1641676)
    http://kbase.redhat.com/faq/docs/DOC-18964

    XPに限らず、
    > レッドハットにおきましては、この問題に対する修正パッチリリースの予定はございません。
    とありますが、別物ですかね?
  • by i_i (22332) on 2009年09月19日 0時33分 (#1641961) 日記

    MS06-015 [microsoft.com]でも今回と同じような対応がとられたのを思い出しました。(対象は当時サポート終了間際だったWin98/98SE/Me)
    今回の脆弱性はこれに比べればずっとおとなしいものですが、こういうこともありうる、というのを頭の片隅に入れて多層防御を考えておく必要があるのかもしれません。
    #諦めないにしてもベンダがパッチ作成に手間取る可能性だってあるし

  • 素直になれよ (スコア:1, オフトピック)

    by dokusuke (36955) on 2009年09月19日 12時35分 (#1642054) 日記

    零細ソフト屋レベルだと思われたくないのだろうが
    NTの頃の開発者が辞めちゃって居ないから解らないと言えばいいのに

  • by Anonymous Coward on 2009年09月18日 13時24分 (#1641646)

    > 12~15年前に書かれたものであり、これに対してパッチを提供することは本質的に実現不可能

    マイクロソフトは、自社製品であっても12~15年たつと保守もできないということですね?

    • T/O
      親コメント
      • by Anonymous Coward
        有料でやってくれるのは延長フェーズの5~9年目までで、
        それ以上は有料でもやらないと聞いています。
    • by Rodin (28411) on 2009年09月18日 22時36分 (#1641920)

      > 12~15年前
      というと、Windows 95/98の頃まで遡りますね。
      それをXPまで流用していたのでしょうか。

      そして「Vistaはコードを大幅に書き直した [computerworld.jp]」
      ので、いろんな意味で問題ない・・・とか?

      --
      匠気だけでは商機なく、正気なだけでは勝機なし。
      親コメント
    • Re:技術力の限界 (スコア:1, すばらしい洞察)

      by Anonymous Coward on 2009年09月19日 0時19分 (#1641957)

      >マイクロソフトは、自社製品であっても12~15年たつと保守もできないということですね?

      Microsoftに限らず「パッチ提供は本質的に実現不可能」というのは十分ありえる話だと思いますが.「対処するための修正量を考えると,もはやパッチというレベルではない」とか,特にOSの場合は「対処すると互換性が失われることが明らかなので,単なるパッチという形で提供するのは不適切」とかです.

      というか,もしもパッチだけで全ての保守が可能なら,そもそも世の中の全てのソフトウェアはメジャーバージョンアップなんて必要無いことになりますね.

      親コメント
    • by megaitai (35912) on 2009年09月19日 0時56分 (#1641964)
      流用しているコードの割合に応じて、値段を安くしろと。
      親コメント
    • by Anonymous Coward
      ちょっと前にも見た気が。「できない」ことと「しない」ことを混同してるのを。
    • by Anonymous Coward
      たしかWindowsのソース閲覧できる一般人っていますよね?本当に本質的に実現不可能なのか確認してもらいたいな
      • by Anonymous Coward
        閲覧も確認もできるけど、結果の公表は禁止ってオチだったりして
    • by Anonymous Coward

      製造業は7年だけどね(部品保持期間)。

      #自分のモノサシしか知らないってのは結構恥ずかしいことだと思う。

  • by Anonymous Coward on 2009年09月18日 13時32分 (#1641656)

    要するに、実用上の障害になるとは考えにくいという評価が完了したってことでしょ。
    問題の確認もしないとかいうならともかく、きちんと評価された結果ならば別にそれはそれでありだと思う。

    • by Anonymous Coward

      だったら、なぜ
      「Vista、Windows Server 2003およびWindows Server 2008については実用上の障害になる」
      と判断したのか、その根拠をお聞かせ願いたいな。

      • だったら、なぜ
        「Vista、Windows Server 2003およびWindows Server 2008については実用上の障害になる」
        と判断したのか、その根拠をお聞かせ願いたいな。

        改訂前のセキュリティー情報は読んでいませんが、現在の MS09-048 (日本語版 [microsoft.com]、原文 [microsoft.com]) の FAQ の節には本脆弱性が XP SP2/SP3 で深刻度最低の「注意」と評価された理由が書いてあるので、それを読めば XP と Vista 等で深刻度の評価が異なる理由がわかるのではないでしょうか。

        マイクロソフトが公式に言っていることとは別に、本当のところはいちいち修正するのが面倒だというだけかもしれませんが、僕にはそうかどうか判断できませんし、僕は例によって真相にはあまり興味がありません。

        親コメント
  • by Anonymous Coward on 2009年09月18日 13時48分 (#1641677)

    これって、「デフォルト状態では影響を受けない」=「ファイアウォール有効ならば影響を受けない」んだと思ってたんだけど、違うの?
    そういう意味では、2000の方が深刻だとも。

  • by Anonymous Coward on 2009年09月18日 14時51分 (#1641730)

    Windows 7を買ってくださいということ。

  • by Anonymous Coward on 2009年09月18日 19時05分 (#1641847)

    小野寺さーん、日本のセキュリティチーム [technet.com]情報更新してぇ。

    Windows2000SP4で提供しないのは影響が少ない、ユーザーが少ない、コードの更新がSP並に大掛かりになるという説明でしたが、Windows XPはユーザーは無視できないぐらい多いと思うので追加説明があってしかるべきだと思うのですが。

    当初提供予定だったのを急遽引っ込めると「パッチによって深刻な別問題でも出たのか?」と勘ぐっちゃいます。

  • by Anonymous Coward on 2009年09月18日 23時40分 (#1641942)
    Red Hat Enterprise Linuxの場合。DOC-18964 [redhat.com]
    修正パッチをリリースする予定は無い模様。

    ドキュメントによれば、緩和策としてiptablesの設定を加えることがあげられています。
typodupeerror

※ただしPHPを除く -- あるAdmin

読み込み中...