Windows 8やWindows 10でウェブサイトのライブタイル提供に使われていたサブドメインが放棄された状態に

　Microsoftが、「Windows 8」や「Windows 10」のライブタイルにニュースや最新情報を通知するために使用していたサブドメインのコントロールを失った状態になっている。ライブタイルとは、Windowsのスタートメニューに表示されるアニメーション機能が付いたタイルのことだ。

　このサブドメイン（notifications.buildmypinnedsite.com）は現在、問題に気付いたセキュリティ研究者でドイツのIT関連ニュースサイトGolem.deのジャーナリストでもあるHanno Bock氏の制御下に置かれている。

RSSを使ったウェブサイトからの情報配信に使われていたサブドメイン

　このサブドメインは、MicrosoftがWindows 8のリリース時に立ち上げたサービスbuildmypinnedsite.comの一部で、より具体的には、スタートページやスタートメニューに表示されるライブタイルに、ウェブサイトからの最新情報を表示するために使われていた。

　各ウェブサイトがこの新機能を利用するには、「Edge」ブラウザのユーザーがWindows 8のスタートページやWindows 10のスタートメニューにウェブページを「ピン留め」できるようにするためのmetaタグを、ソースコードに埋め込む必要があった。

　クライアント側では、Windowsユーザーがスタートページやスタートメニューを開くと、ピン留めされているサイトのmetaタグを読み込み、その後ライブタイルの中にコンテンツを読み込む仕組みになっている。

　ところが、Windowsのライブタイルサービスは、限られたフォーマットのRSSフィードしか処理できなかったため、Microsoftはスタートページ・スタートメニューにアニメーション付きのライブタイルを作成したいウェブサイトに対して、notifications.buildmypinnedsite.comのサブドメインを使って、RSSフィードをWindowsのタイルサービスが解釈可能な特別なXMLフォーマットに変換することを推奨していた。

　何千ものウェブサイトが、読み手に情報を届けるための新しい手段として、このmetaタグをサイトのソースコードに埋め込んだ。

提供：ZDNet

　しかし、現地時間4月17日のBock氏の発言によれば、このサービスはすでに利用できなくなっている。

　「そのためのXMLファイルを配信すべきホスト（notifications.buildmypinnedsite.com）は、MicrosoftのクラウドサービスであるAzureのエラーメッセージを表示していた」と同氏は述べている。「このホストは、Azureのサブドメインの1つにリダイレクトされていた。ところが、このサブドメインはAzureに登録されていなかった」

　Bock氏は自分のAzureアカウントでこのサブドメインを登録し、現在は受信したすべてのリクエストをシンクホールとして処理しているという。同氏はこの問題についてMicrosoftに知らせたが、返事はなかったと述べている。

　「われわれが永久にこのホストを登録し続けることはない。このホストへのトラフィックはかなりの量で、維持には大きなコストがかかっている」（Bock氏）

　同氏は、「われわれが今後このサブドメインを放棄すれば、悪意を持った攻撃者がこのドメインを登録し、攻撃に利用する可能性もある」と警告している。

　悪意を持った攻撃者がこのドメインを取得した場合、このサイトからWindowsのライブタイルサービスを悪用する不正なXMLファイルが配信され、現在もスタートページやスタートメニューでウェブサイトのライブタイルを使用しているユーザーのコンピューターで、コードが実行される可能性がある。

　Bock氏はまた、この機能を利用していたウェブサイトに対して、ソースコードからmetaタグを削除するか、自分たちで独自にライブタイル用に作成されたXMLファイルを提供し、ユーザーがnotifications.buildmypinnedsite.comのサブドメインにアクセスしないようにすることを勧めている。このサブドメインを利用しているサイトには、Mail.ru、Engadget、BGR、TenForums、Golem.de、Heise.deなどが含まれるという。