マイクロソフトは1月12日，Windowsのセキュリティ・ホールをふさぐ修正パッチを3件公開した。セキュリティ・ホールの深刻度は，2件が最悪の「緊急」，1件が上からの2番目の「重要」。緊急の2件については，マイクロソフト以外のベンダーから既に公表されており，これらを突くウイルス（Webページ）や検証用ファイルなどが出現している。Windowsユーザーは，Windows Updateを実施するなどして，できるだけ早急にパッチを適用する必要がある。
今回公表されたセキュリティ・ホールは以下の3件。（1）と（2）の深刻度は最悪の「緊急」に，（3）については「重要」に設定されている。
（1）HTML ヘルプの脆弱性により，コードが実行される (890175) (MS05-001)
（2）カーソルおよびアイコンのフォーマットの処理の脆弱性により，リモートでコードが実行される (891711) (MS05-002)
（3）インデックス サービスの脆弱性により，コードが実行される (871250) (MS05-003)
（1）の「HTML ヘルプの脆弱性により，コードが実行される (890175) (MS05-001)」は，Windowsに含まれるHTMLヘルプのActiveX コントロール（hhctrl.ocx）に関するセキュリティ・ホールである。このセキュリティ・ホールを突かれると，任意のコマンドやプログラムを，最も制限が緩い「ローカル・コンピュータ・ゾーン（マイ・コンピュータ・ゾーン）」で実行させられてしまう。具体的には，細工が施されたWebページにアクセスするだけで，危険なプログラム（例えばウイルス）を勝手にダウンロードおよび実行させられる可能性がある。
このセキュリティ・ホールは，ユーザーやマイクロソフト以外のベンダーによって，2004年10月に公表されている（関連記事）。その後，このセキュリティ・ホールを突くようなウイルス（Webページ）が出現している（関連記事）。セキュリティ・ホールの危険性を警告するデモ・ページも公表されている（関連記事）。とても危険なセキュリティ・ホールであり，セキュリティ・ホールを突く手法も明らかとなっている。影響を受けるユーザーはすぐにパッチを適用すべきである。
このセキュリティ・ホールについては，Windows NT以外のすべてのWindowsが影響を受ける。Windows XP SP2も例外ではない。また，Windows NTについても，Internet Explorer（IE）6 SP1をインストールしている場合には影響を受ける。このため，ほとんどすべてのWindowsユーザーがパッチを適用する必要がある。
修正パッチはWindows Updateやセキュリティ情報のページから入手できる。ただし，Windows 98／98 SE／Me用のパッチについては，Windows Updateからしか適用できない。
（2）の「カーソルおよびアイコンのフォーマットの処理の脆弱性により，リモートでコードが実行される (891711) (MS05-002)」も，マイクロソフト以外から既に公表されているセキュリティ・ホールである（関連記事）。
Windowsには，カーソル（.cur）やアニメーション・カーソル（.ani）およびアイコン（.ico）といったファイル形式を処理する方法に問題がある。このため，細工が施されたこれらの形式のファイルを読む込むと，ファイルに仕込まれた任意のプログラムを実行させられたり，Windowsをハングアップさせられたりする。細工の施されたファイルがWebページやHTMLメールに貼り込まれている場合には，それらをIEなどで表示させただけで被害を受ける。
このセキュリティ・ホールについても，セキュリティ・ホールを突く検証用のファイルなどが公開されている。（1）と同様に，危険かつ悪用方法が明らかになっているセキュリティ・ホールなので，早急にパッチを適用したい。
このセキュリティ・ホールについては，Windows XP SP2を除く，すべてのWindowsが影響を受ける。修正パッチは，Windows Updateやセキュリティ情報のページから入手できる。ただし，Windows 98／98 SE／Meについては，セキュリティ・ホールの影響を受けるものの，現時点（1月12日）ではパッチは用意されていない。同社の「よく寄せられる質問」によれば，用意ができ次第，Windows Updateから適用できるようにするという。
（3）の「インデックス サービスの脆弱性により，コードが実行される (871250) (MS05-003)」は，Windowsのインデックス サービスに関するセキュリティ・ホールである。インデックス サービスのコンポーネントにはバッファ・オーバーフローのセキュリティ・ホールが存在する。このため，細工が施されたデータ（クエリー）を送信されると，任意のプログラムを実行させられたり，インデックス サービスをハングアップさせられたりする。
ただし，インデックス サービスはデフォルトでは有効になっていない。また，リモートからこのセキュリティ・ホールを悪用するには，Internet Information Services（IIS）を経由させてデータを送信することになるが，デフォルトではIISからインデックス サービスへアクセスできない。これらの理由から，悪用された場合の危険性は大きいものの，セキュリティ・ホールの深刻度は「重要」に設定されている。
影響を受けるのは，Windows 2000／XP／Server 2003。ただし，Windows XP SP2は影響を受けない。Windows NTやWindows 98／98 SE／Meも影響を受けない。修正パッチはWindows Updateやセキュリティ情報のページから入手できる。
◎参考資料
◆2005年1月のセキュリティ情報
◆HTML ヘルプの脆弱性により，コードが実行される (890175) (MS05-001)
◆カーソルおよびアイコンのフォーマットの処理の脆弱性により，リモートでコードが実行される (891711) (MS05-002)
◆インデックス サービスの脆弱性により，コードが実行される (871250) (MS05-003)
◆Microsoft Internet Explorer Multiple Vulnerabilities
◆Microsoft Windows Multiple Vulnerabilities
（勝村 幸博＝IT Pro）
