はじめに、MS15-034 は Microsoft の HTTP.sys に発見された重大なセキュリティ脆弱性です。この脆弱性が悪用されると、リモートコード実行 (RCE) 攻撃やサービス拒否 (DoS) 攻撃につながる可能性があります。Windows サーバーは世界中で広く普及しているため、このセキュリティ脆弱性の重大性は計り知れません。では、MS15-034 とは何でしょうか？システムにどのような影響を与え、どのような対策を講じればよいのでしょうか？このブログでは、このトピックについて詳しく説明します。
この議論の主要部分は、HTTP.sysの概要から始まります。これはカーネルレベルでHTTPリクエストをリッスンするカーネルモードデバイスドライバーです。これにより、ユーザーモードのHTTPリスナーよりも優れたパフォーマンスが得られます。しかし、この利点は同時に高いリスクも伴います。MS15-034のようなカーネルレベルの脆弱性は、攻撃者にカーネル空間へのアクセスを実質的に提供するため、非常に大きな被害をもたらす可能性があります。
MS15-034 は、主に部分コンテンツリクエストに使用される Range HTTP ヘッダーを悪用します。Range ヘッダーに細工された値が存在すると、HTTP.sys がヘッダーを誤って解析する可能性があります。この脆弱性は主に、大きな「Range」値と「If-Range」ヘッダーの欠如という2つの要素によって引き起こされます。攻撃者はサーバーを騙して本来よりも多くのデータを返させ、バッファオーバーフローを引き起こします。このオーバーフローは、DoS 攻撃や、場合によっては未チェックのコード実行につながる可能性があります。
この脆弱性の影響は甚大です。DoS攻撃シナリオでは、システムクラッシュによってミッションクリティカルなサービスが中断され、組織の機能に脅威が及ぶ可能性があります。さらに深刻なシナリオでは、RCE（リモートコード実行）によって攻撃者がシステムを制御できるようになる可能性があります。攻撃者は、プログラムのインストール、データの表示、変更、削除、あるいは完全なユーザー権限を持つ新規アカウントの作成などを行う可能性があります。
この脆弱性は、Windows 7、Windows Server 2008 R2、Windows 8、Windows Server 2012、Windows 8.1、Windows Server 2012 R2など、多くのWindowsバージョンに影響を及ぼします。特に、公開されているWebサーバーでは、リモートから悪用される可能性があるため、非常に危険です。
サーバーにHTTP.sysが存在するだけでは脆弱性が生じるわけではないことを明確にしておく必要があります。脆弱性が発生するには、HTTP.sysがIPアドレスとポートにバインドされ、リクエストをリッスンしている必要があります。Microsoftは、このようなケースは頻繁に発生しないと指摘しており、少し安心感を与えています。
幸いなことに、システム管理者がこの脅威を軽減するために実行できる対策がいくつかあります。まず、システムにパッチを適用し続けることが重要です。Microsoftの定期的なセキュリティ更新プログラムには、このような脆弱性に対する修正が含まれていることが多いため、これらのパッチをタイムリーに適用することが不可欠です。
その他のケースでは、制限的なファイアウォールルールによって、迷惑トラフィックをブロックできる場合があります。ファイアウォールの機能によっては、この脆弱性を悪用した攻撃を示唆する、大規模な範囲ヘッダーを持つリクエストをブロックできる場合があります。
もう一つのアプローチは、リバースプロキシまたはロードバランサーを使用することです。これらは、受信トラフィックをスクラブするように設定でき、悪意のあるヘッダーがHTTP.sysに到達する前に削除できます。ただし、この解決策にも欠点があります。例えば、正当なユーザーが大容量のファイルをリクエストしてもブロックされる可能性があります。
結論として、MS15-034は危険な脆弱性ですが、その影響からの回復は可能です。システムを最新の状態に保ち、制限の厳しいファイアウォールルールを設定し、必要に応じてリバースプロキシまたはロードバランサーを使用することが、この欠陥を軽減する効果的な方法です。重要なのは、常に継続的な警戒と積極的な行動です。最新の脆弱性に関する情報を常に把握し、必要なパッチとアップデートを定期的に適用することの重要性は、いくら強調してもしすぎることはありません。デジタル世界は常に進化しており、そこに潜む脅威も同様に進化しています。