セキュリティ専門家、「Windows Server 2008」のセキュリティ設計に脆弱性を発見 IT Media

続報待ち。

ハッキングの専門家がMicrosoftの新製品「Windows Server 2008」のセキュリティモデルを解析したところ、同製品の保護機能を「無用の長物」と化す、深刻な設計上の弱点が存在していることが分かった。

　アルゼンチンはパラナに拠点を置くArgeniss Information Securityの創立者であり、最高経営責任者（CEO）でもあるシーザー・セルード氏は、スキルの高いハッカーがこの脆弱性を悪用した場合、特権昇格攻撃を仕掛けて、同オペレーティングシステムのコントロールを完全に掌握できるようになると説明している。

　「Microsoftのエンジニアも、同社が導入しているセキュリティ開発ライフサイクルの中で把握できなかった設計問題を、われわれが発見した。"Network Service"や"Local Service"といったWindowsサービスで一般的に使われるアカウントに、新たなWindowsサービス保護メカニズムを回避させ、特権昇格を試みるという問題である」（セルード氏）

　同氏が発見した問題は、デフォルトで設定されている「Internet Information Services（IIS）7」にも影響をおよぼすもので、「ASP.NET」アプリケーションに同OSのセキュリティを「完全無力化」させることが可能になるという。

　データベースセキュリティ分野の業績が高く評価されているセキュリティ研究者であるセルード氏は、「Windows Vista」「Windows XP」「Windows Server 2003」もこの問題に影響を受けると述べた。

　「低特権アカウントの下で稼働している場合でもあっても、あらゆるWindowsサービスにはセキュリティ保護メカニズムを突破し、OSに侵入する能力が潜在的に備わっているため、今回の問題の影響は、Windows XPやWindows Server 2003で特にシビアになる。これには、IIS 6に実装されているすべてのWebアプリケーションが含まれる」（セルード氏）