「緊急適用」の場合、すでに攻撃コードが公開されているなど、脆弱性を悪用した攻撃が開始される可能性がある。「SP待ち」の場合、現時点では危険性がそれほど高くないため、サービスパックに反映されるまで待つことが可能であることを示す。ActiveXコントロール(Webビュー)における入力パラメータの検証が適切に処理されない脆弱性により、Windowsシェルで任意のコードが実行される危険性がある。Explorer(IE)で開くように誘導することで実行される。脆弱性自体はWindowsシェルに存在するが、攻撃はIEを介して実行される。攻撃用コードを仕掛けたWebサイトが発見されており、任意のコードを実行するようなWebページを作成するための実証コードも広く公開されている。した理由から、今後さらに脆弱性を悪用した攻撃が広がることが懸念される。この脆弱性は、Webページを開くだけで攻撃が実行可能であることから、スパイウェアやトロイの木馬などのインストールに悪用される危険性があるので注意が必要だ。至急、修正プログラムを適用した方がよい。ActiveXコントロールの脆弱性」を解消するものである。#18」として報告済みのものだ。ActiveXコントロールのsetSlice()メソッドに不正な値が設定されて呼び出されると、メモリ破損が起こり、任意のコードが実行されてしまう。Labでは、以下のプラットフォームで修正プログラムの適用テストを行った。2.0で確認可能である。未適用の場合は、「Windowsのセキュリティの更新プログラム」の「結果の詳細情報」に以下のいずれかが表示される。Fun」の実証ページならびにLukeHack氏が作成した実証コード(任意のコードを実行する細工を仕込んだWebページを作成するもの)で、MS06-057の修正プログラムをテストした。SP2の各環境で、修正プログラムの適用によって脆弱性が解消されることを確認できた。SP1)により、適用によって置き換えられるcomctl32.dllのバージョンが異なる。SP1では5.81.4968.2500になる。2003では、既存のcomctl32.dllのファイルバージョンによって、更新後のファイルバージョンも変わる。詳細は後述の「適用されるファイル情報」の参照をしていただきたい。MS06-057の修正プログラムが適用されたことをcomctl32.dllのファイルバージョンで判断するような場合は、以上のように複数のファイルバージョンがあり得ることを考慮すべきだ。SP1以外のバージョンだと、comctl32.dllが更新できない。SP1に更新してからこの修正プログラムを適用する必要がある。......以下のファイルにパッチが適用される。障害の発生が懸念される場合は、これらのファイルのバックアップを取っておくとよい。SP1の場合、修正プログラムのxpsp2_binarydropフォルダ内のcomctl32.dllがコピーされる。Library*背景がサクラ色のファイルはMS06-045と同じもの。**sprt0411.dllはファイル名が「xpsp2res.dll」に変更のうえ、コピーされる。***既存のcomctl32.dllのファイルバージョンが6.0系列の場合、適用後はこれらのcomctl32.dllが利用される。Library*既存のcomctl32.dllのファイルバージョンが6.0系列の場合、適用後はこれらのcomctl32.dllが利用される。......修正プログラムが正しく適用できたかどうかは、以下のレジストリ・キーにある値を調べることで確認できる。......何らかの理由で直ちに修正プログラムを適用できない場合には、以下に示す方法で回避が可能だ。この回避策は、脆弱性を根本的に解決するものではない。ActiveXコントロールを呼び出せなくすることで、攻撃を回避可能だ。ActiveXコントロールに対するCLSID(クラス識別子)にkillbitを設定する。Flags(DWORD型)」のデータとして「0x00000400」を設定すればよい。Explorerの再起動が必要である。6.1で、今回の修正プログラムを適用するのにかかる時間を概算したもの。ネットワーク環境や適用するコンピュータの性能などによって適用時間は異なる。目安として利用してほしい。Reportは、UpdateEXPERTユーザー向けの情報を含んでいます。UpdateEXPERTは、管理者の負担を大幅に軽減するHotFix管理ツールです。UpdateEXPERTに関する詳細ならびにお問い合わせは、アップデートテクノロジー株式会社のホームページをご参照ください。Reportにご登録いただいておりますユーザー様にお送りしています。無断で複製・再配信などを行うことはできません。ついて、明示的又は黙示的な保証を行いません。本サービスの停止や欠陥、それらに起因して発生する損失や損害について、一切責任を負いません。