マイクロソフトは、Windows XP Pro/2000において、ASP.NETアプリケーションを実行しているWebサーバーに、セキュリティホールがあるとして、修正プログラムを公開した。

　不具合が発生し、修正プログラムの適用対象となるのは、Windows XP Pro/2000において、Internet Information Services 5.0 以上を使用し、ASP.NET アプリケーションを利用している場合。通常のクライアントパソコンとして使用している場合や、Windows Me/98/95/NT 4.0およびWindows XP Homeでは問題は発生しない。

　問題は、WebサーバーへのHTTPセッションを管理するStateServerモードのCookieのプロセスを処理するルーチンの1つに未チェックのバッファが含まれること。このため、攻撃者がバッファのオーバーラン攻撃を行なうことで、ASP.NETアプリケーションが再起動したり、悪意のあるプログラムが実行される恐れが生じる。

　なお、この修正プログラムをインストールするには、.NET Framework SP1が適用しておく必要がある。

□セキュリティホールの告知と対策パッチ（マイクロソフト）
http://www.microsoft.com/japan/technet/treeview/default.asp?url=/japan/technet/security/bulletin/MS02-026.asp
□マイクロソフト
http://www.microsoft.com/japan/

（正田拓也）
2002/06/07 21:35