マイクロソフトは11月20日，Windows Media Player のセキュリティ・ホール情報を公開した。 主に説明されているセキュリティ・ホールは，Media Player 6.4 だけが影響を受けるものである。しかしながら，過去に発見されたセキュリティ・ホール（MS00-090，MS01-029，MS01-042）の“変種”も新たに発見されているようである。
これについては，Media Player 6.4/7/7.1 および Media Player for Windows XP が影響を受ける。今回のパッチを適用すれば，Media Player 6.4 のセキュリティおよび変種のセキュリティ・ホールに加え，既にパッチが公開されているセキュリティ・ホールについても解消できるとしているが，公開されているのは英語版だけで，日本語版は準備中である。
Media Player 6.4 だけが影響を受けるセキュリティ・ホールについては，深刻度が“低”であるが，過去に発見されたセキュリティ・ホールおよびその変種を加えれば“高”であるとしている。そのため，対象製品のユーザーは同社のセキュリティ情報サイトをチェックして，パッチが公開され次第すぐに適用する必要がある。
対象がWindows Media Player 6.4 であるセキュリティ・ホールは，ASF（Advanced Streaming Format）ファイルの取り扱いに問題があるために発生する。ある特定のデータを含むASFファイルを読む込むとバッファ・オーバーフローを引き起こし，データに含まれた任意のコードを実行する恐れがある。ASFファイルを開かない限り影響を受けないので，パッチが公開され適用するまでは，怪しいASFファイルを開かないことが対策となる。
問題はマイクロソフト自身が発見したという，過去のセキュリティ・ホールの“変種（variants）”についてである。過去に発見されたセキュリティ・ホールと同様に，ある細工が施されたWebページやHTMLメールを，それぞれ閲覧したり開いたりするだけで，攻撃者が仕込んだコードをユーザーのマシン上で実行してしまう恐れがある。
このセキュリティ・ホールはMedia Player 6.4のあるコンポーネントに存在するが，下位互換のために Media Player 7/7.1 および Media Player for Windows XP にもこのコンポーネントが存在する。そのため，6.4以降のバージョンすべてが対象となる。6.4より古いバージョンについては，サポート対象外でテストをしていないので，影響を受けるかどうか分からない，としている。
新しく発見されたとする変種のセキュリティ・ホールについては，ほとんど記述されていない。パッチを適用する以外の回避方法についても触れていない。過去のセキュリティ・ホール情報を参考にすると，Outlookを使用している場合は，「Outlook 電子メール セキュリティ アップデート」を適用すれば，HTMLメールを使った攻撃は避けられる可能性がある。
なお，Outlook 2002 を使用している場合，もしくは「Office 2000 Service Pack 2」を適用している場合には，このセキュリティアップデートを適用する必要はない。
それ以外については回避方法が明確ではないので，「怪しいWebページを閲覧したり，メールを開いたりしない」といった“当たり前”の対策しかない。しかしながら，HTMLメールの場合にはプレビューするだけで被害を受ける恐れがあるので，あまり実効力はない。
マイクロソフトからすれば，「パッチを適用すれば回避できるので問題はない」という理由で詳細な情報を記載していないのかもしれないが，現状では英語版パッチ以外は公開されていない。日本語版パッチの早急な公開もさることながら，パッチが公開されるまでの回避方法についても，適切にアナウンスしてもらいたい。
◎参考文献
◆Windows Media Player の .ASF ファイル処理に、未チェックのバッファが含まれる (MS01-056)
◆Windows Media Player .ASF Processor Contains Unchecked Buffer
