Windowsシェルがドラッグ・アンド・ドロップのDHTML（ダイナミックHTML）イベントを正確に検証しないため、細工されたリンクをクリックするだけで、ユーザーのコンピュータにファイルがダウンロードされる危険性がある。その際、ダウンロードの許可を求めるダイアログなどは表示されない。この脆弱性によってダウンロードされたファイルが直接実行されることはないが、スタートアップ・フォルダなどにダウンロードされると、ローカル・ログオンによってプログラムが実行されてしまうため非常に危険だ。

　MS05-008の脆弱性は、すでに広く公開されており、実証コードや攻撃例が報告されている。MS05-008とMS05-014は、両方を適用することでドラッグ・アンド・ドロップの脆弱性を解消するものだ。そのためMS05-008の深刻度は「2（重要）」ではあるものの、MS05-014とともに、至急適用を行うべき修正プログラムである。

　MS05-014の修正プログラムで解消されるドラッグ・アンド・ドロップの脆弱性と同様、DHTMLイベントの検証に脆弱性が存在する。MS05-014ではInternet Explorer（IE）に関連するモジュールがDHTMLイベントを検証する方法に問題があった。それに対し、MS05-008ではWindowsシェル（shell32.dll）が脆弱性の原因となっている。どちらも、DHTMLイベントの検証方法を変更し、ユーザーの意図しないファイルがコンピュータにダウロードされてしまう危険性を解消する。

・TechNetセキュリティ情報 MS05-014（Internet Explorer 用の累積的なセキュリティ更新プログラム）：
http://www.microsoft.com/japan/technet/security/Bulletin/MS05-014.mspx

・HotFix Alert MS05-014（Internet Explorerのドラッグ・アンド・ドロップなどの脆弱性により、任意のコードが実行される危険性）：
http://www.hotfix.jp/archives/alert/2005/ms05-014.html

■適用テストの結果
　DA Labでは、以下のプラットフォームで修正プログラムの適用テストを行った。

■同じWindowsシェルの脆弱性でも、MS04-037はMS05-008に含まれない
　Windowsシェルの脆弱性という大枠では、MS04-037もMS05-008と共通である。

・TechNetセキュリティ情報 MS04-037（Windows シェルの脆弱性により、リモートでコードが実行される）：
http://www.microsoft.com/japan/technet/security/bulletin/ms04-037.mspx

・HotFix Alert MS04-037（Windowsシェル機能などの未チェック・バッファの脆弱性により、コンピュータの制御が完全に奪われてしまう危険性）：
http://www.hotfix.jp/archives/alert/2004/ms04-037.html

　しかし脆弱性の内容が異なるためか、MS04-037の修正プログラムはMS05-008の修正プログラムに含まれていない。したがって、両方とも適用する必要がある。

■Windows NT 4.0 SP6a／2000 SP2／XP SP未適用向け修正プログラムは提供されない
　Windows NT Workstation 4.0 SP6a／2000 SP2は2004年6月30日に、Windows XP SP未適用は2004年9月30日にそれぞれサポート・ライフサイクルが終了したため、MS05-010の修正プログラムは提供されない。Windows 2000 SP2はSP3またはSP4を適用してから、Windows XP SP未適用はSP1a／SP2を適用してから、それぞれ対応する修正プログラムを適用する。

　また、Windows NT Server 4.0も2004年12月31日でサポート・ライフサイクルが終了しており、MS05-008の修正プログラムは提供されない。そのため、Windows NT 4.0 SP6aについては、脆弱性を解消する手段がないため、OS自体のバージョンアップが必要となる。

■Windows 98／98SE／Meにも脆弱性あり
　TechNetセキュリティ情報によれば、Windows 98／98SE／MeにもWindowsシェルの脆弱性が存在する。ただし「緊急ではない」ため、修正プログラムの提供は行われない。そのためIEのセキュリティ設定を変更するなどして、脆弱性を回避する必要がある。

■MBSA 1.21の結果
　MS05-008の修正プログラムが正しく適用されているかどうかは、MBSA 1.21で確認可能だ。未適用の場合は、「Windowsのセキュリティの更新」の「結果の詳細情報」に、「Windows シェルの脆弱性により、リモートでコードが実行される (890047)」が表示される。

　修正プログラムが正しく適用できたかどうかは、以下のレジストリ・キーにある値を調べることで確認できる。

・Windows 2000 SP3／SP4：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows 2000\SP5\KB890047\Filelist以下のファイル一覧を確認する

・Windows XP SP1／SP1a／SP2：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows XP\SP3\KB890047\Filelist以下のファイル一覧を確認する

・Windows Server 2003：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows Server 2003\SP1\KB890047\Filelist以下のファイル一覧を確認する

・Windows 2000 SP3／SP4：
［展開ビュー］−［OS］タブに「名前：Windows2000-KB890047-x86-JPN.EXE」で登録

・Windows XP SP1／SP1a／SP2：
［展開ビュー］−［OS］タブに「名前：WindowsXP-KB890047-X86-JPN.exe」で登録

・Windows Server 2003：
UpdateEXPERT 5.1：サポート対象外
UpdateEXPERT 6.1：［展開ビュー］−［OS］タブに「名前：WindowsServer2003-KB890047-x86-jpn.exe」で登録