Reportで配信されたセキュリティ情報のバックナンバーです。「更新日」に明記された時点での情報ですのでご注意ください。脆弱性による危険性を示す。「緊急適用」の場合、すでに攻撃コードが公開されているなど、脆弱性を悪用した攻撃が開始される可能性がある。「SP待ち」の場合、現時点では危険性がそれほど高くないため、サービスパックに反映されるまで待つことが可能であることを示す。Windowsシェルがドラッグ・アンド・ドロップのDHTML(ダイナミックHTML)イベントを正確に検証しないため、細工されたリンクをクリックするだけで、ユーザーのコンピュータにファイルがダウンロードされる危険性がある。その際、ダウンロードの許可を求めるダイアログなどは表示されない。この脆弱性によってダウンロードされたファイルが直接実行されることはないが、スタートアップ・フォルダなどにダウンロードされると、ローカル・ログオンによってプログラムが実行されてしまうため非常に危険だ。MS05-008の脆弱性は、すでに広く公開されており、実証コードや攻撃例が報告されている。MS05-008とMS05-014は、両方を適用することでドラッグ・アンド・ドロップの脆弱性を解消するものだ。そのためMS05-008の深刻度は「2(重要)」ではあるものの、MS05-014とともに、至急適用を行うべき修正プログラムである。概要MS05-014の修正プログラムで解消されるドラッグ・アンド・ドロップの脆弱性と同様、DHTMLイベントの検証に脆弱性が存在する。Explorer(IE)に関連するモジュールがDHTMLイベントを検証する方法に問題があった。それに対し、MS05-008ではWindowsシェル(shell32.dll)が脆弱性の原因となっている。どちらも、DHTMLイベントの検証方法を変更し、ユーザーの意図しないファイルがコンピュータにダウロードされてしまう危険性を解消する。Labでは、以下のプラットフォームで修正プログラムの適用テストを行った。■同じWindowsシェルの脆弱性でも、MS04-037はMS05-008に含まれないWindowsシェルの脆弱性という大枠では、MS04-037もMS05-008と共通である。MS04-037(Windowsシェル機能などの未チェック・バッファの脆弱性により、コンピュータの制御が完全に奪われてしまう危険性):http://www.hotfix.jp/archives/alert/2004/ms04-037.htmlしかし脆弱性の内容が異なるためか、MS04-037の修正プログラムはMS05-008の修正プログラムに含まれていない。したがって、両方とも適用する必要がある。SP未適用は2004年9月30日にそれぞれサポート・ライフサイクルが終了したため、MS05-010の修正プログラムは提供されない。SP未適用はSP1a/SP2を適用してから、それぞれ対応する修正プログラムを適用する。4.0も2004年12月31日でサポート・ライフサイクルが終了しており、MS05-008の修正プログラムは提供されない。SP6aについては、脆弱性を解消する手段がないため、OS自体のバージョンアップが必要となる。98/98SE/MeにもWindowsシェルの脆弱性が存在する。「緊急ではない」ため、修正プログラムの提供は行われない。そのためIEのセキュリティ設定を変更するなどして、脆弱性を回避する必要がある。1.21で確認可能だ。(890047)」が表示される。......以下のファイルにパッチが適用される。障害の発生が懸念される場合は、これらのファイルのバックアップを取っておくとよい。......修正プログラムが正しく適用できたかどうかは、以下のレジストリ・キーにある値を調べることで確認できる。6.1で、今回の修正プログラムを適用するのにかかる時間を概算したもの。ネットワーク環境や適用するコンピュータの性能などによって適用時間は異なる。目安として利用してほしい。Reportは、UpdateEXPERTユーザー向けの情報を含んでいます。UpdateEXPERTは、管理者の負担を大幅に軽減するHotFix管理ツールです。UpdateEXPERTに関する詳細ならびにお問い合わせは、アップデートテクノロジー株式会社のホームページをご参照ください。Reportにご登録いただいておりますユーザー様にお送りしています。無断で複製・再配信などを行うことはできません。ついて、明示的又は黙示的な保証を行いません。本サービスの停止や欠陥、それらに起因して発生する損失や損害について、一切責任を負いません。