マイクロソフトは12月13日，WindowsやInternet Explorer（IE），Visual Studioなどに関するセキュリティ情報と修正パッチ（セキュリティ更新プログラム）を計7件公開した。セキュリティ・ホールの最大深刻度は最悪の「緊急」。第三者によって既に公表されているセキュリティ・ホールも含まれるので，早急にパッチを適用したい。

“ゼロデイ”のセキュリティ情報が複数

　12月8日に予告されていたセキュリティ情報は6件だったが，実際には1件追加されて7件公開された（関連記事：12月公開のパッチは6件，ゼロデイ攻撃を受けたVisual Studioも修正）。追加された1件は，12月7日に公表されたWindows Media Playerのセキュリティ・ホールに関する情報。

　内訳は，VisualStudioに関する情報が1件，Windowsに関するものが6件。これらのうち，最大深刻度が「緊急」に設定されているのは以下の3件。

（1）Internet Explorer用の累積的なセキュリティ更新プログラム (925454) (MS06-072)
（2）Visual Studio 2005 の脆弱性により，リモートでコードが実行される (925674) (MS06-073)
（3）Windows Media Formatの脆弱性により，リモートでコードが実行される (923689) (MS06-078)

　（1）はIEに関するセキュリティ情報。影響を受けるのは，IE 5.01（Windows 2000）およびIE 6。IE 7は影響を受けない。この情報には4種類のセキュリティ・ホールが含まれる。これらのセキュリティ・ホールを悪用されると，細工が施されたWebサイトにアクセスするだけで，任意のプログラムを実行されたり，パソコンの情報（テンポラリ・ファイルの情報）を盗まれたりする恐れがある。

　ただし，デフォルト設定で任意のプログラムを実行される恐れがあるのは，Windows 2000およびXP上のIE 6だけ。Windows Server 2003上のIE 6は「セキュリティ強化の構成」で実行されるため，セキュリティ設定を変更していなければ任意のプログラムを実行される恐れはない。またWindows 2000上のIE 5.01には，任意のプログラムを実行されるセキュリティ・ホールは存在しない（情報を盗まれるセキュリティ･ホールは存在する）。

　セキュリティ・ホールの最大深刻度は，Windows 2000およびXP上のIE 6では最悪の「緊急」，Windows Server 2003上のIE 6では下から2番目（上から3番目）の「警告」，Windows 2000上のIE 5.01では上から2番目の「重要」に設定されている。

　（2）の「Visual Studio 2005の脆弱性により，リモートでコードが実行される」はVisual Studio 2005のセキュリティ・ホールに関する情報。これは，第三者によって既に公表されているもの（関連記事：Visual Studioにセキュリティ・ホール）。セキュリティ・ホールを突くことが可能であることを示す検証コードも公開されている。

　セキュリティ・ホールの原因は，Visual Studio 2005に含まれるWmiScriptUtils.dll。WmiScriptUtils.dllのWMI Object Brokerコントロールにセキュリティ・ホールが存在するため，このコントロールを呼び出す悪質なWebページにアクセスするだけで，任意のプログラムを実行される恐れがある。

　Visual Studio 2005であってもWmiScriptUtils.dllを含まないバージョンはセキュリティ・ホールの影響を受けない。例えば，Visual Studio 2005 Tools For OfficeやVisual Studio 2005 Team Explorerなどは影響を受けないという（詳細は，セキュリティ情報の「影響を受けないソフトウェア」を参照）。

　マイクロソフトでは11月1日に，このセキュリティ・ホールの概要と回避策をまとめた「セキュリティアドバイザリ」をリリース。そして今回，セキュリティ情報と修正パッチを公表した。

　（3）の「Windows Media Formatの脆弱性により，リモートでコードが実行される」はWindows Media Playerに関するセキュリティ・ホール。（2）と同様に，このセキュリティ・ホールについても第三者によって既に公表されている（関連記事：Windows Media Playerにセキュリティ・ホール）。

　Windows Media PlayerおよびWindows Media Playerで使用する「Windows Media Formatランタイム」には，ASF（Advanced Systems Format）ファイルおよびASX（Advanced Stream Redirector）ファイルの処理に問題がある。

　このため細工が施されたASF／ASXファイルを読み込むと，中に仕込まれた任意のプログラムを実行される恐れがある。悪質なASF／ASXファイルへリンクされたWebページにアクセスするだけで被害を受ける恐れもある。

　影響を受けるのは，Windows Media Format 7.1 ～ 9.5 シリーズ ランタイム，Windows Media Format 9.5 シリーズ ランタイム x64 Edition，Windows Media Player 6.4。Windows Media Player／Format。Windows 2000／XP／Server 2003のユーザーは影響を受けると考えたほうがよい。Windows Media Format 11シリーズやWindows Vistaは影響を受けない。