マイクロソフトは、同社のJavaVMにセキュリティホールが発見されたと発表した。インターネットへのアクセスにプロキシサーバーを利用する環境では、Webサーバーとのやりとりを意図しないサーバーへリダイレクトされる可能性がある。すでにこの問題を解決したJavaVMが公開されており、マイクロソフトは適用を強く推奨している。

　対象となるJavaVMのバージョンはMicrosoft VM Build 3802まで。Microsoft VMは、Windows XP/Me/98/95/2000/NT4.0で動作するほか、Windows Me/98/2000やInternet Explorer（IE）5.5およびそれ以前のバージョンには標準で含まれている。

　VMのビルド番号は、Windowsのコマンドプロンプトから「JVIEW」コマンドを実行することで表示される。ただし、IE 4.01 SP1ではファイル「MSJAVA.DLL」のバージョン番号を直接調べる必要がある。これは、このファイルのプロパティを表示しバージョン情報のタブをクリックすれば表示される。

　なお、マイクロソフトは同社のWebサイトでこのセキュリティホールへの対策が施されたMicrosoft VM Build 3805をすでに公開しており、適用を強く推奨している。

　今回、発見されたセキュリティホールはプロキシサーバーを利用した環境でのみ発生するもの。Javaアプレットがこのセキュリティホールを悪用した場合、プロキシサーバーとのやりとりを任意のサーバーへリダイレクトできるという。これにより、セッション情報を破棄することでアクセス不可と見せかけたり、ユーザーが送信したデータを取得したりといったことが可能になる。

□Java アプレットがブラウザ トラフィックをリダイレクトする（マイクロソフト）
http://www.microsoft.com/japan/technet/security/current.asp
□Microsoft VM build 3805（英文、ダウンロードできる）
http://www.microsoft.com/java/vm/dl_vm40.htm
□マイクロソフト
http://www.microsoft.com/japan/

（笠井 康伸）
2002/03/06 13:50