FrontPage Server Extensions 2002（FPSE 2002）とSharePoint Team Services 2002にクロスサイト・スクリプティング（→ キーワード）の脆弱性が存在する。細工されたスクリプトがFPSE 2002／SharePoint Team Services 2002に挿入されることで、脆弱性が悪用され、任意のスクリプトが実行される。このスクリプトによって、ユーザーの代わりに任意の操作を実行し、Webセッションの監視、ユーザーのコンピュータ上でのコードの実行、Cookieの読み取りや書き込みなどの操作が実行される危険性がある。ただし、この脆弱性が悪用される条件として、ユーザーの操作が必要条件となっている。

　マイクロソフトによれば、MS06-017の脆弱性は非公開で報告されたとしており、実証コードや攻撃例は確認されていないという。しかし修正プログラムが公開されたことから、脆弱性を発見したEsteban Martinez Fayo氏が詳細な技術情報と実証コードを公開した。この脆弱性が悪用された場合、FPSE 2002が実行されているWebサイトの制御が完全に奪われる危険性もあるので、なるべく早期に修正プログラムを適用した方がよい。特にインターネットに公開しているWebサーバでFPSE 2002を利用している場合は危険性が高い。ただし修正プログラムの適用によって、FPSE 2002の挙動が変わる可能性もあるので、事前に十分な検証を実施することを勧める。

・Argeniss（Vulnerability in Microsoft FrontPage Server Extensions Could Allow Cross-Site Scripting (MS06-17)）：
http://www.argeniss.com/research/ARGENISS-ADV-040602.txt

・セキュリティ用語：クロスサイト・スクリプティング（cross-site scripting）
http://www.hotfix.jp/archives/word/2003/word03-04.html

　FPSEは、Internet Information Services（IIS）の拡張機能として、CGIなどのサービスを提供するために利用されるツールのセットである。またSharePoint Team Servicesは、Webサーバ（IIS）にインストールすることで情報の共有が行えるWebサイトを構築可能にするものだ。FPSE 2002は、Windows Server 2003の機能としてデフォルトで付属しているが、有効化されていない。またWindows 2000 ServerとWindows XPでは、デフォルトではFPSE 2002はインストールされておらず、別途マイクロソフトのWebサイトからダウンロードしてインストールする必要がある。SharePoint Team Servicesは、すべての環境においてデフォルトではインストールされていない。

　FPSE 2002とSharePoint Team Servicesにクロスサイト・スクリプティングの脆弱性が存在し、ユーザーのセキュリティ・コンテキストで任意のスクリプトが実行される危険性がある。脆弱性は、FPSE 2002とSharePoint Team Servicesに含まれるfpadmdll.dllに存在し、管理目的に利用する「operation」「command」「name」の各コマンドが入力値を十分に検証しないことに起因する。これらのコマンドに対して、HTMLのコメントである「-->」を付けたスクリプトを与えると、そのままユーザーに戻してしまう。その結果、「-->」以降のスクリプトがユーザーのブラウザで実行される。

■適用テストの結果
　DA Labでは、以下のプラットフォームで修正プログラムの適用テストを行った。

■Windows 2000／XP＋FPSE 2002向け修正プログラムはMicrosoft Updateなどで適用できない
　Windows Server 2003＋FPSE 2002向け修正プログラムは、一般的なWindows Server 2003向け修正プログラムと同様、Microsoft UpdateやWSUSなどで適用可能だ。またSharePoint Team Services向けの修正プログラムは、Microsoft UpdateやWSUSのほか、Office Updateでも適用できる。これはSharePoint Team Servicesが、Office XP Professional with FrontPageなどのOffice XP製品に添付されるソフトウェアだからだ。

　しかし、Windows 2000／Windows XP＋FrontPage Server Extensions 2002向け修正プログラムは、ダウンロード・センターから入手して、手動で適用する必要がある。一般的な修正プログラムと異なり、Microsoft UpdateやWSUSなどでは適用できないので注意する必要がある。

■SharePoint Team Services向けの適用にはOffice XP SP3の適用が必要
　MS06-017のSharePoint Team Services向けの修正プログラムを適用するには、事前にSharePoint Team Services向けOffice XP SP3を適用しておく必要がある。SharePoint Team Services向けOffice XP SP3のインストール・パッケージは以下のページからダウンロードできる。

・ダウンロード センター（Office XP Service Pack 3 (SP-3) for SharePoint Team Services）：
http://www.microsoft.com/downloads/details.aspx?
FamilyID=2818e9df-79ff-49a4-89c1-cad72fea9b32&DisplayLang=ja

■SharePoint Team Services以外のOffice XPファミリも修正プログラムの適用が推奨される
　SharePoint Team Services以外のOffice XPファミリは、この脆弱性の影響を受けない。しかしWord 2002／Excel 2002／Outlook 2002／PowerPoint 2002／Access 2002／FrontPage 2002／Publisher 2002は、SharePoint Team Services向けの修正プログラムで更新されるファイルを使用している。そのため、これらのOffice XPファミリのいずれかがインストールされている環境で、Office UpdateやMBSA 2.0を実行すると、MS06-017のSharePoint Team Services向け修正プログラムの適用が推奨される。しかし、これらのOffice XPファミリはMS06-017の脆弱性の影響を受けないので、修正プログラムを適用する必要はないとのことだ。

■修正プログラム適用による仕様変更
　MS06-017の修正プログラムを適用すると、インデックス・サービスがデフォルトの検索方法として使用されるようになる。設定が変更される可能性があるので、適用後、検索方法などを確認した方がよい。

■複数の不具合が修正される
　MS06-017のFPSE 2002向けの修正プログラムを適用すると、以下のサポート技術情報で説明されている不具合も解消される。

・サポート技術情報 895193（Windows Server 2003 用の FrontPage 2002 Server Extensions 修正プログラム パッケージ (2005 年 4 月 13 日) について）：
http://support.microsoft.com/default.aspx?scid=kb;ja;895193

・サポート技術情報 825809 （Windows Server 2003 で FrontPage Server Extensions が応答を停止する ）：
http://support.microsoft.com/default.aspx?scid=kb;ja;825809

　またサポート技術情報が用意されていない複数の不具合も解消される。FPSE 2002に不具合が発生している場合は、MS06-017の修正プログラムを適用することで解消する可能性がある。

■MBSA 2.0の結果
　SharePoint Team Services 2002向けの修正プログラムが未適用の場合は、「Office のセキュリティ更新」の「結果の詳細情報」に、「SharePoint Team Services セキュリティ更新プログラム: KB911701」が表示される。またWindows Server 2003＋FPSE 2002向けの修正プログラムが未適用の場合は、「Windows のセキュリティ更新プログラム」の「結果の詳細情報」に、「Windows Server 2003 用セキュリティ更新プログラム (KB908981)」が表示される。

　一方、MBSA 2.0はWindows 2000／XP＋FPSE 2002をサポートされておらず、MS06-017の修正プログラムは検出できない。

　修正プログラムが正しく適用できたかどうかは、以下のレジストリ・キーにある値を調べることで確認できる。

・FrontPage Server Extensions 2002（Windows Server 2003 SP未適用／SP1） ：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows Server 2003\SP2\KB908981\Filelist以下のファイル一覧を確認する

・FrontPage Server Extensions 2002（Windows 2000 Server SP4、Windows XP SP1／SP1a／SP2）：
置き換わるファイルのバージョンで確認する

・SharePoint Team Services：
置き換わるファイルのバージョンで確認する

・FrontPage Server Extensions 2002（Windows Server 2003 SP未適用／SP1） ：
［展開ビュー］−［IIS］タブに「名前：：WindowsServer2003-KB908981-x86-JPN.exe」で登録

・FrontPage Server Extensions 2002（Windows 2000 Server SP4、Windows XP SP1／SP1a／SP2）：
［展開ビュー］−［IIS］タブに「名前：officexp-kb911831-client-JPN.exe」で登録

・SharePoint Team Services：
サポート対象外