[port139:01452] [W2KSP3] 別途適用が必要な修正プログラム

[Tanaka Souji <souta3@xxxxxxxxxxxxxx>]

JWNTUG Security へ投げようかとも思いましたが...

Win セキュリティ虎の穴などでも触れられておりますが、SP3 適用後に
必要な修正モジュールがあるということで調べております。

http://www.microsoft.com/japan/technet/security/news/W2kSP3.asp

の 別途適用が必要な修正プログラム 項目では MS01-022, MS02-008 は
個別に適用が必要となっております。

(1)MS01-022

SP3 適用後のシステムであっても、MS01-022 の更新する MSDAIPP.DLL
は、FAQ で脆弱性のあるバージョンとされている 8.103.2402.0 である
ことを手もとでは確認いたしました。
残念ながら 8/8 付の mssecure.xml にはこのファイル情報が含まれて
おらず HFNetChk.exe では、この未適用が現時点では確認できませぬ。

XML ファイルへ情報が含まれるようにはならないのでしょうか...

(2)MS02-008

デフォルトの Windows 2000+SP3 には、MS02-008 が対象としている、

     MSXML2.DLL, MSXML3.DLL, MSXML4.DLL

は含まれておりませぬ。
これらのファイルを含む IE6 などのコンポーネントをインストールし
ている場合には別途適用が必要ということでしょうか。

例えば、SP3 適用後に IE6 をインストールした場合には、MSXML3.DLL
がインストールされる為に MS02-008 のインストールが必要になります。
しかしながら、MS02-008 につきましては HFNetCHK で確認すれば 8/8 
の mssecure.xml で適用の必要性を確認できます...

テスト的に、Windows 2000 + SP3 + IE6 + SP3 とインストールしてみ
ましたが IE6 インストール時と IE6+SP3 での HFNetChk の結果は同
じ(Patch NOT Found MS02-008)でございました。

-- 
Tanaka Souji
souta3@xxxxxxxxxxxxxx