マイクロソフトは6月14日，同社製品のセキュリティ情報を12件公表した。Microsoft OfficeやInternet Explorer（IE），Windowsなどに関する危険なセキュリティ・ホールが含まれる。セキュリティ・ホールの最大深刻度は最悪の「緊急」なので，早急に修正パッチ（セキュリティ更新プログラム）を適用したい。Windowsの自動更新機能や「Microsoft Update」などで適用できる。
今回公開されたセキュリティ情報は，先日の告知どおり，Windowsに関する情報が9件，Officeに関する情報が2件，Exchangeに関する情報が1件だった（関連記事）。そのうち，最大深刻度が「緊急」に設定されているのは以下の8件。
（1）Internet Explorer用の累積的なセキュリティ更新プログラム (916281) (MS06-021)
（2）ARTの画像表示の脆弱性により，リモートでコードが実行される (918439) (MS06-022)
（3）Microsoft JScriptの脆弱性により，リモートでコードが実行される (917344) (MS06-023)
（4）Windows Media Playerの脆弱性により，リモートでコードが実行される (917734) (MS06-024)
（5）ルーティングとリモート アクセスの脆弱性により，リモートでコードが実行される (911280) (MS06-025)
（6）Graphics Rendering Engineの脆弱性により，リモートでコードが実行される (918547) (MS06-026)
（7）Microsoft Word の脆弱性により，リモートでコードが実行される (917336) (MS06-027)
（8）Microsoft PowerPointの脆弱性により，リモートでコードが実行される (916768) (MS06-028)
（1）はIEに関するセキュリティ情報。8種類のセキュリティ・ホールに関する情報が含まれる。現在サポート対象のIEすべて（IE6／Windows 2000のIE 5.01）が影響を受ける。最も危険なセキュリティ・ホールを悪用されると，Webページにアクセスするだけで任意のプログラムを実行させられる恐れがある。また，Webページのなりすましを許すセキュリティ・ホールも含まれている。
（2）は，AOL ART画像形式を処理するWindowsのライブラリに関するセキュリティ・ホール。IEを通じて細工が施されたART画像ファイルを読み込むと，ファイルに仕込まれた任意のプログラムを実行される可能性がある。Windows 2000を除くすべてのWindowsが影響を受け，深刻度はいずれも「緊急」。Windows 2000についてはデフォルトでは同ライブラリが含まれないため影響を受けないが，同ライブラリを含む「Windows 2000 AOL Image Support Update」をインストールしている場合には，他のWindowsと同様に影響を受ける。
（3）は，スクリプト言語JScriptの処理に関するWindowsのセキュリティ・ホール。JScriptとは，ECMA 262の言語仕様（ECMAScript Edition 3）のマイクロソフトの実装のこと。細工が施されたJScriptを含むHTMLファイル（WebページやHTMLメール）を読み込むと，攻撃者が意図したプログラムを実行される可能性がある。現在サポート対象のすべてのWindowsが影響を受ける。深刻度については，Windows Server 2003／2003 SP1は上から3番目（下から2番目）の「警告」で，これら以外については「緊急」である。
（4）はWindows Media Playerに関するセキュリティ・ホール。Media PlayerのPNG画像の処理にはバッファ・オーバーフローのセキュリティが存在するため，細工が施されたPNG画像を読み込むと任意のプログラムを実行させられる恐れがある。そのような画像が置かれたWebページにアクセスするだけで被害に遭う可能もある。
影響を受けるのは，Media Player 7.1／9／10。Media Player 6.4は影響を受けない。Media Playerのバージョンは，Media Playerプログラム（Wmp.dllまたはWmpui.dll）のファイルのバージョンから確認できる。詳細については，セキュリティ情報の「このセキュリティ更新プログラムに関するよく寄せられる質問」の項を参照してほしい。
（5）は，Windowsのルーティングおよびリモート・アクセス・サービス（RRAS）に関するバッファ・オーバーフローのセキュリティ・ホール。細工が施されたデータを送信されるだけで，データに含まれる任意のプログラムを実行させられる恐れがある。ただし，匿名ユーザーがリモートからこのセキュリティ・ホールを悪用できるのは，Windows 2000およびXP SP1についてのみ。Windows XP SP2およびServer 2003については，対象マシンのログオン権限を持つユーザーだけが攻撃可能。Windows 98／98SE／Meにはセキュリティ・ホールが見つかったコンポーネントは含まれていないため，影響を受けない。
（6）は，Windows 98／98SE／Meの画像処理ライブラリ「Graphics Rendering Engine（GRE）」に関するセキュリティ・ホール。細工が施されたWMF（Windowsメタファイル）画像を読み込むと，画像に仕込まれた任意のプログラムを実行される可能性がある。1月に公表された「Graphics Rendering Engine の脆弱性によりコードが実行される可能性がある (912919) (MS06-001)」と似ているが，異なるセキュリティ・ホールである（関連記事：Windowsのセキュリティ・ホール“騒動”が残した教訓）。
（7）は，Microsoft Wordに関するセキュリティ・ホール。影響を受けるのは，Word 2000（Office 2000），Word 2002（Office XP），Word 2003（Office 2003）およびWord Viewer 2003。スイート製品である「Works Suites」にもWordが含まれるので，同製品のユーザーも影響を受ける。Mac版Office「Office v.X for Mac」に含まれるWord（Word X for Mac／Word 2004 for Mac）は影響を受けない。
このセキュリティ・ホールを悪用されると，細工が施された文書ファイルを読み込むだけで，ファイルに仕込まれた任意のプログラムを実行させられる恐れがある。実際，このセキュリティ・ホールを突いた攻撃は5月下旬に確認されている（関連記事：Microsoft Wordにパッチ未公開の脆弱性）。
ただし，この攻撃は極めて限定的で，米MicrosoftのBen Fathi氏によれば，実際に攻撃を受けたのは5社（組織）未満であるという（関連記事：「Wordのゼロデイ攻撃を受けたのは5社未満」）。セキュリティ・ホールの詳細も明らかにされていなかったことから，当初は前倒しで公開する予定があったものの，「これ以上悪用される恐れは少ない」として，今回の“定例日”に合わせてセキュリティ情報と修正パッチをリリースした。
（8）はPowerPointに関するセキュリティ・ホール。細工が施されたPowerPoint（ppt）ファイルを読み込むだけで，ファイルに仕込まれた任意のプログラムを実行させられる恐れがある。影響を受けるのは，PowerPoint 2000（Office 2000），PowerPoint 2002（Office XP），PowerPoint 2003（Office 2003），PowerPoint 2004 for Mac， PowerPoint v. X for Mac。（7）とは異なり，Mac版も影響を受ける。ただし，PowerPoint X for Macは影響を受けない。
最大深刻度が「重要」のセキュリティ情報も3件公表されている。
（9）Outlook Web Access を実行する Microsoft Exchange Serverの脆弱性により，スクリプト インジェクションが起こる (912442) (MS06-029)
（10）サーバー メッセージ ブロックの脆弱性により，特権が昇格される (914389) (MS06-030)
（11）TCP/IPの脆弱性により，リモートでコードが実行される (917953) (MS06-032)
（9）はExchange 2000 Server／Server 2003，（10）はWindows 2000／XP／Server 2003，（11）はWindows 2000が影響を受ける。
最大深刻度が「警告」のセキュリティ情報は以下の1件。Windows 2000だけが影響を受ける。
（12）RPC の相互認証の脆弱性により，なりすましが行なわれる (917736) (MS06-031)
パッチ適用には，いくつかの注意点
いずれのセキュリティ・ホールについても，対策は修正パッチを提供すること。Microsoft Updateから適用できる。自動更新機能を有効にしていれば自動的に適用される。また，Windows関連のパッチについては「Windows Update」から，Office関連のパッチについては「Office のアップデート」からも適用可能。
