マイクロソフトは12月14日，Internet Explorer（IE）およびWindowsに関するセキュリティ情報をそれぞれ1件ずつ公表した。細工が施されたWebページ（HTMLファイル）を開くだけで，悪質なプログラム（例えばウイルス）を実行させられるような危険なセキュリティ・ホールを含む。IEのセキュリティ・ホールについては，悪用が可能であることを示す実証コードが11月に公開されている（関連記事）。最大深刻度は最悪の「緊急」。対策は更新プログラム（修正パッチ）の適用。「Microsoft Update」などから適用できる。

　今回公開されたセキュリティ情報は当初の予定どおり2件（関連記事）。

（1）Internet Explorer 用の累積的なセキュリティ更新プログラム (905915) (MS05-054)
（2）Windows カーネルの脆弱性により，特権が昇格される (908523) (MS05-055)

　（1）の影響を受けるのはWindows 98／98SE／Me／2000／XP／Server 2003のIE。XP SP2やServer 2003 SP1のIEも影響を受ける。（1）に含まれるセキュリティ・ホールは以下の4種類。

（a）ファイルのダウンロード ダイアログ ボックスの操作に関する脆弱性 - CAN-2005-2829
（b）HTTPS プロキシの脆弱性 - CAN-2005-2830
（c）COM オブジェクト インスタンス化のメモリ破損の脆弱性 - CAN-2005-2831
（d）不適切な Document Object Model オブジェクトのメモリ破損の脆弱性 - CAN-2005-1790

　これらのうち，（c）と（d）の最大深刻度は「緊急」，（a）と（b）の最大深刻度は上から3番目（下から2番目）の「警告」。（d）は，11月に第三者によって実証コードが公表されたもの（関連記事）。実証目的のコードだけではなく，悪用目的のコード（Webサイト）も複数確認されている（関連記事1，関連記事2）。マイクロソフトではセキュリティアドバイザリを公表して回避策（アクティブスクリプトの無効など）を紹介した（関連記事）。

　（a）（c）（d）については，細工が施されたWebページにアクセスすると攻撃者の意図するコード（プログラム）を実行させられる恐れがある。（b）については，特定の環境において情報漏えいが発生する可能性がある。具体的には，HTTPS（SSL）接続を使っていても，IEからプロキシ・サーバーへ送信されるWebアドレス（URL）が読み取られる恐れがある。

　（2）の「Windows カーネルの脆弱性により，特権が昇格される (908523) (MS05-055)」は，Windows 2000だけが影響を受けるセキュリティ情報。深刻度は上から2番目の「重要」。同情報には「Windows カーネルの脆弱性 - CAN-2005-2827」というセキュリティ・ホールが含まれる。悪用されると，ローカルでログオンできるユーザーに権限の昇格を許す可能性がある。つまり，アクセス権限を持つユーザーに，本来は許可していない操作をされる恐れがある。リモートから，あるいは匿名ユーザー（アクセス権限を持たないユーザー）に，このセキュリティ・ホールを悪用されることはない。

　（1）と（2）のいずれについても，対策は修正パッチを提供すること。「Microsoft Update」あるいは「Windows Update」から適用できる。これらの自動更新機能を有効にしている環境では，自動的に適用される。また，それぞれのセキュリティ情報のページからもパッチをダウンロードできる（Windows 98／98SE／MeのパッチについてはMicrosoft Update／Windows Updateからのみ適用可能）。パッチ適用後には，マシンの再起動を必要とする。

　なお，（1）の修正パッチを適用すると，「XCP」コピー防止ソフト用の古いアンインストール・ツールで発生するセキュリティ問題を回避できる。Kill Bitを設定して，古いアンインストール・ツールをIEから利用できないようにする。

　XCPとは米Sony BMG Music Entertainment（以下，ソニーBMG）の音楽CDなどに含まれるソフトウエア。XCPにはルートキットの機能があるとして問題になり，XCPをアンインストールするツール（ActiveXコントロール）がソニーBMGなどから公開された。しかし，このツールにも問題があることが判明（関連記事）。ツールを実行したユーザーが悪意のあるサイトへアクセスすると，任意のプログラムを実行させられる恐れがある。実際，そのようなサイトが確認された（関連記事）。このため，古いアンインストール・ツールの公開が中止された。現在公開されているツールには問題はない。現在公開されているツールを利用することでも，古いアンインストール・ツールの問題を解消できる（関連記事）。

　マイクロソフトは同日，ウイルスなどを検出および駆除する無償ツール「悪意のあるソフトウエアの削除ツール」の新版も公開した（関連記事）。新版では，ソニーBMGの音楽CDに含まれるXCPなどに対応した（関連記事）。同ツールを利用すれば，ルートキットの機能を持つXCPのコンポーネントを削除できる。

　ツールの対象OSは，Windows 2000／XP／Server 2003。ダウンロードセンターや「Microsoft Update」から入手できる。Windows XPとServer 2003 SP1については「Windows Update」からも適用可能。

◎参考資料
◆2005年12月のセキュリティ情報
◆Internet Explorer 用の累積的なセキュリティ更新プログラム (905915) (MS05-054)
◆Windows カーネルの脆弱性により，特権が昇格される (908523) (MS05-055)