MS09-048 の修正が Windows2000で出ない理由

Microsoft は月例のセキュリティアップデートで説明のあった脆弱性のひとつの修正プログラムを見送るという異例の措置をとり、修正プログラムを作成は不可能とした。

この怠慢は Windows 2000 サーバー サービスパック 4ユーザーを攻撃に対しての脆弱性を残したままにする。

本日、Microsoftは８つのWindowsの脆弱性に対して修正を行う、５つの緊急アップデート(Windows 2000 サーバーSP4に対しては処置されないものを１つ含む)を公開した。
このオペレーティングシステムのサポートは 2010年7月まで終わらない、それまでは Microsoftはアップデートを提供することになっている。

セキュリティデータチームマネージャーののシャブリック・テクノロジーズ社のジェーソン＝ミラー氏は『これは、本当に不思議なことで、このようなことは前例が無い』と述べた。

3つの脆弱性に対するアップデートの一つ（実際に一つだけ『緊急』と記されている）はVistaと Server 2008に修正が適用されているが、2000 Server SP4には無い。

『Microsoft は脆弱性の修正プログラムを公開しないでいる』ミラー氏は続けた。
『彼らは述べられた脆弱性の修正プログラムを作ることは「不可能」であると言いはじめた。
この点を考慮して、Windows 2000が影響を受けるこの脆弱性は周知されるようになり、管理者は彼らのコンピュータへの単純な修正プログラムでは対応できない』

MS09-048速報で、Microsoftはなぜ、Windows 2000 SP4でその脆弱性が修正されていないのかを次のように明かしている。

『Microsoft Windows 2000 のシステムには TCP/IP の保護を適切にサポートするアーキテクチャーが存在しないため、脆弱性を排除する Microsoft Windows 2000 Service Pack 4 用の更新プログラムを作成するのは極めて困難です。それを実現するには、影響を受けるコンポーネントだけではなく、Microsoft Windows 2000 Service Pack 4 オペレーティング システムの非常に多くの部分を再設計し直す必要があります。そのような再設計がなされた製品は、Microsoft Windows 2000 Service Pack 4 との互換性が不十分になり、Microsoft Windows 2000 Service Pack 4 で実行するように設計されたアプリケーションが更新されたシステムで引き続き稼働する保証がありません。』

『信じられないね、』
エヌサイクル・ネットワーク・セキュリティのセキュリティ運用ディレクターのアンドリュー＝ストームス氏は言った、『「それは」Windows2000のネットワークスタックがいい加減だったことを更に証明したことになる』
彼は、まとめると次のようになると述べた、
Windows XP がリリースされた時に MicrosoftがCisco Systemsにこのオペレーティングシステムの TCP/IP スタックを作らせたと言う噂があった。

ミラー氏はMS09-048を彼らの修正プログラムのTODOリストの最上位に入れることを企業に要請した。
『もしビジネスインタラクションを探しているならば、これは致命的だ』彼は言った。
『加えて、これについての要求されたユーザーインタラクションはない。』

Windows 2000 が全てのWindowsマシン、クライアントやサーバーに占める割合は非常にわずかではあるが、その脆弱性（実際にMicrosoft が修正を投げ出した）はいくつかのファームウェアウェアにとっては厄介なことになる、とミラー氏は述べた。
『移行されていないコンピュータ、例えば、Windows Server 2003 を持っている人たちは 沢山の問題を抱えている』、ミラー氏は言う。
『そして、おそらくWindows2000じゃないと動作しないアプリケーションを持っていると言う理由でそれすら持っていない沢山の企業がある』

クォリス社の脆弱性研究所、マネージャーのアモール・サーワテ氏は『一度「悪意のある」パケットを受け取ると、そのマシンは脆弱になる。単純なポートのブロックでは防御することができない』と述べた。

ハッカーたちはTCP/IP のバグによる不正コードを作るために、どちらかと言えばより高度な専門技術が必要なのだと研究者たちは言ったのが唯一の希望かもしれない。
クォリスの最高技術責任者のウォルフガング・カンデック氏は『ハッカーが動作する悪意のあるコードを獲得するのには少し時間がかかり、ユーザーはMS09-048のパッチを当てる時間の余裕があるだろう。』と述べている。

現行でサポートされている全てのWindowsが TCP/IPの脆弱性の影響を受けるのだが、VistaとWindows 2008 Serverが含まれている反面、まだリリースされていない Windows 7 とWindows Server 2008 R2 は含まれていない。
『これはとても興味深い』クォリスの最高技術責任者のウォルフガング・カンデック氏は言った。『Microsoftはこのような攻撃を防ぐために、それらのOSで特別なことをしなくてはならない』

9月のアップデートはダウンロード可能で、Microsoft Update や Windows Update サービス以外にWindows Server Update サービスといった方法を経由してインストールできる。