Reportで配信されたセキュリティ情報のバックナンバーです。「更新日」に明記された時点での情報ですのでご注意ください。脆弱性による危険性を示す。「緊急適用」の場合、すでに攻撃コードが公開されているなど、脆弱性を悪用した攻撃が開始される可能性がある。「SP待ち」の場合、現時点では危険性がそれほど高くないため、サービスパックに反映されるまで待つことが可能であることを示す。キーワード)の脆弱性が存在する。2002に挿入されることで、脆弱性が悪用され、任意のスクリプトが実行される。このスクリプトによって、ユーザーの代わりに任意の操作を実行し、Webセッションの監視、ユーザーのコンピュータ上でのコードの実行、Cookieの読み取りや書き込みなどの操作が実行される危険性がある。この脆弱性が悪用される条件として、ユーザーの操作が必要条件となっている。マイクロソフトによれば、MS06-017の脆弱性は非公開で報告されたとしており、実証コードや攻撃例は確認されていないという。Fayo氏が詳細な技術情報と実証コードを公開した。2002が実行されているWebサイトの制御が完全に奪われる危険性もあるので、なるべく早期に修正プログラムを適用した方がよい。2002を利用している場合は危険性が高い。2002の挙動が変わる可能性もあるので、事前に十分な検証を実施することを勧める。(MS06-17)):http://www.argeniss.com/research/ARGENISS-ADV-040602.txt■クロスサイト・スクリプティングWebサーバ上で動作しているアプリケーションに関するセキュリティ・ホールの1つ。「XSS」と呼ばれることもある。ユーザーの入力などに応じて動的に生成されるWebページにおいて、受け付けた入力データを正しく処理しないことにより、特殊なスクリプト・コードが入力されて、本来は許可されていないような操作が可能になる場合がある。このようなセキュリティ・ホールを指して「クロスサイト・スクリプティングの脆弱性」などと呼ぶ。Services(IIS)の拡張機能として、CGIなどのサービスを提供するために利用されるツールのセットである。Servicesは、Webサーバ(IIS)にインストールすることで情報の共有が行えるWebサイトを構築可能にするものだ。2003の機能としてデフォルトで付属しているが、有効化されていない。2002はインストールされておらず、別途マイクロソフトのWebサイトからダウンロードしてインストールする必要がある。Servicesは、すべての環境においてデフォルトではインストールされていない。Servicesにクロスサイト・スクリプティングの脆弱性が存在し、ユーザーのセキュリティ・コンテキストで任意のスクリプトが実行される危険性がある。Servicesに含まれるfpadmdll.dllに存在し、管理目的に利用する「operation」「command」「name」の各コマンドが入力値を十分に検証しないことに起因する。これらのコマンドに対して、HTMLのコメントである「-->」を付けたスクリプトを与えると、そのままユーザーに戻してしまう。その結果、「-->」以降のスクリプトがユーザーのブラウザで実行される。Labでは、以下のプラットフォームで修正プログラムの適用テストを行った。UpdateやWSUSなどで適用可能だ。Updateでも適用できる。XP製品に添付されるソフトウェアだからだ。2002向け修正プログラムは、ダウンロード・センターから入手して、手動で適用する必要がある。UpdateやWSUSなどでは適用できないので注意する必要がある。SP3を適用しておく必要がある。SP3のインストール・パッケージは以下のページからダウンロードできる。XPファミリは、この脆弱性の影響を受けない。Services向けの修正プログラムで更新されるファイルを使用している。Services向け修正プログラムの適用が推奨される。XPファミリはMS06-017の脆弱性の影響を受けないので、修正プログラムを適用する必要はないとのことだ。■修正プログラム適用による仕様変更MS06-017の修正プログラムを適用すると、インデックス・サービスがデフォルトの検索方法として使用されるようになる。2002向けの修正プログラムを適用すると、以下のサポート技術情報で説明されている不具合も解消される。):http://support.microsoft.com/default.aspx?scid=kb;ja;825809またサポート技術情報が用意されていない複数の不具合も解消される。2002に不具合が発生している場合は、MS06-017の修正プログラムを適用することで解消する可能性がある。KB911701」が表示される。(KB908981)」が表示される。2002をサポートされておらず、MS06-017の修正プログラムは検出できない。......以下のファイルにパッチが適用される。障害の発生が懸念される場合は、これらのファイルのバックアップを取っておくとよい。Servicesだけがインストールされている場合、存在しないので更新されない。......修正プログラムが正しく適用できたかどうかは、以下のレジストリ・キーにある値を調べることで確認できる。6.1で、今回の修正プログラムを適用するのにかかる時間を概算したもの。ネットワーク環境や適用するコンピュータの性能などによって適用時間は異なる。目安として利用してほしい。Reportは、UpdateEXPERTユーザー向けの情報を含んでいます。UpdateEXPERTは、管理者の負担を大幅に軽減するHotFix管理ツールです。UpdateEXPERTに関する詳細ならびにお問い合わせは、アップデートテクノロジー株式会社のホームページをご参照ください。Reportにご登録いただいておりますユーザー様にお送りしています。無断で複製・再配信などを行うことはできません。ついて、明示的又は黙示的な保証を行いません。本サービスの停止や欠陥、それらに起因して発生する損失や損害について、一切責任を負いません。