Exchange ServerのMIMEデコード処理などに脆弱性が存在する。細工した電子メールを受信すると、Exchange Serverが実行されているコンピュータ上で任意のコードが実行されたり、サービス拒否が起きたりする危険性がある。最悪の場合、Exchange Serverを実行しているコンピュータの制御が完全に奪われる可能性がある。

　またExchange ServerのOutlook Web Access（OWA）にスクリプト・インジェクションの脆弱性も存在する。細工された電子メールをOWAで開くと、メッセージ内のスクリプトがユーザーのコンピュータ上で実行されてしまう。その結果、第三者へメールが転送されたり、Cookie情報が読み取られたりする情報漏えいや、ユーザーのコンピュータ上でスクリプトとは別のコードが実行されるなどの危険性がある。

　マイクロソフトによれば、MS07-026の脆弱性はすべて非公開で報告されたとしており、実証コードや攻撃例は確認されていないという。しかしこの脆弱性を悪用した電子メール・ウイルスが出現すると、Exchange Serverが乗っ取られ、情報が漏えいするなど甚大な被害が発生する危険性がある。至急に修正プログラムを適用した方がよい。

　MS07-026の修正プログラムは、以下の4件の脆弱性を解消する。

■MIMEデコードの脆弱性（深刻度：緊急　CVE：CVE-2007-0213）
　Exchange ServerのMIMEエンコード処理に脆弱性が存在する。細工されたBase64エンコードされた電子メールを受信すると、任意のコードが実行されてしまう。細工された電子メールを受信するだけで、最悪の場合、コンピュータの制御が完全に奪われてしまうので、非常に危険性が高い。トロイの木馬のインストールや、情報の窃取のために悪用されることが懸念される脆弱性だ。

■形式の正しくないiCalの脆弱性（深刻度：重要　CVE：CVE-2007-0039）
　Exchange Serverで提供されているEXCDO機能が、電子メールで提供されたiCAL（インターネット・カレンダー）のプロパティを適切に処理しないことに起因する脆弱性が存在する。細工されたiCALのプロパティを含む電子メールを、Exchange Serverが受信すると、Exchange Serverの電子メール・サービスが応答を停止してしまう。機能を回復するためには、再起動が必要となる。

　EXCDO機能とは、特定の種類の情報をExchangeストアで処理できるようにするインターフェイスである。またiCALは、カレンダーおよびスケジュールに関連する情報を送信および交換する際に、Exchange Serverや電子メール・ソフトウェアで使用されるMIMEコンテンツ・タイプで、受信したOutlookの予定表に会議の予定を自動的に追加することなどを可能にする（Outlookの「会議の計画」機能などで「iCalendarとして転送」を利用する）。

■Outlook Web Accessのスクリプト・インジェクションの脆弱性（深刻度：重要　CVE：CVE-2007-0220）
　OWAは、Exchange Serverのメール・ボックスに対して、ユーザーがWebブラウザを使用してアクセスすることを可能にするExchangeのサービスである。ユーザーは、OWAを使用することで、Webブラウザでメールの受信／送信、予定表の管理などが行えるようになる。

　OWAのスクリプト・インジェクションの脆弱性はMS06-029でも解消されているが、MS07-026の脆弱性はそれとは異なる部分に起因するものである。OWAが、UTFでエンコードされた添付ファイルを処理する過程に脆弱性が存在する。細工されたUTF文字セットを含む添付ファイルを処理すると、OWAを使用して電子メールを表示しているユーザーのコンピュータ上で未承認のスクリプトが実行される危険性がある。

　なおExchange Server 2007は、この脆弱性の影響を受けない。

■IMAPリテラル処理の脆弱性（深刻度：重要　CVE：CVE-2007-0221）
　Exchange ServerがIMAPコマンドを処理する過程に整数オーバーフロー・エラーの脆弱性が存在する。Exchange Serverが細工されたIMAPコマンドを受信すると、Exchange Serverの電子メール・サービスが応答を停止してしまう。機能を回復するためには、再起動が必要となる。

　この脆弱性は、Exchange 2000 Serverのみ影響を受ける。

■適用テストの結果
　DA Labでは、以下のプラットフォームで修正プログラムの適用テストを行った。

■MBSA 2.0.1の結果
　MS07-026の修正プログラムが正しく適用されているかどうかは、MBSA 2.0.1で確認可能である。未適用の場合は、「Exchange Serverのセキュリティの更新プログラム」の「結果の詳細情報」に以下のいずれかが表示される。

• Security Update for Exchange 2000 Server Service Pack 3 (KB931832)
• Security Update for Exchange Server 2003 Service Pack 1 (KB931832)
• Security Update for Exchange Server 2003 Service Pack 2 (KB931832)
• Update Rollup 2 for Exchange Server 2007 (KB935490)

■Exchange 2000 Server SP3には「更新プログラムのロールアップ」のインストールが必要
　Exchange 2000 Server SP3にMS07-026の修正プログラムを適用するには、2004年8月にリリースされた「更新プログラムのロールアップ」を事前にインストールしておく必要がある。「更新プログラムのロールアップ」では、多くの不具合が修正される一方、多くのファイルが置き換わる。事前に十分な検証を行った上でインストールする必要がある。

・サポート技術情報 870540（2004 年 8 月公開の Exchange 2000 Server Service Pack 3 以降の更新プログラムのロールアップ）：
http://support.microsoft.com/default.aspx?scid=kb;ja;870540

・ダウンロード・センター（Exchange 2000 用 更新プログラムのロールアップ (KB870540)）：
http://www.microsoft.com/downloads/details.aspx?displaylang=ja&
familyid=363a57a4-8bed-4bbb-bbe4-abc11ab04611

■適用時に関連サービスが再起動される
　MS07-026の修正プログラムは、適用時にExchange Serverおよび関連するIISのサービスを自動的に再起動する。具体的には、ExchangeのInformation StoreやIntersite Messaging、Routing Engine、IIS Admin（WWW／SMTP／NNTPなども含む）、POP3／IMAP4といったサービスが再起動する。つまりExchangeやIISが提供する主要なサービスが一旦停止するので、適用する前にこれらを利用するユーザーにサービスの一時停止を告知しておいた方がよい。

■Exchange Server 2007向けの修正プログラムはロールアップ更新プログラム
　Exchange Server 2007向けのMS07-026の修正プログラムは、脆弱性を解消するだけのものではなく、過去の不具合修正などを含むロールアップ更新プログラムとなっている。そのため、脆弱性に関連するモジュール以外のファイルも大量に更新される。事前に十分な検証を行ってから適用した方がよい。

■Exchange Server 2003向け修正プログラムはSP1向けとSP2向けのファイル名が同じなので注意
　MS07-026のExchange Server 2003 SP1向けとSP2向けの修正プログラムはファイル名が「Exchange2003-KB931832-x86-JPN.exe」とまったく同じである。しかしExchange Server 2003 SP1向けとSP2向けでは、置き換わるファイルなどが異なっており、SP1向けをSP2に適用することなどはできない（適用時にエラーが発生する）。ファイル名が同じことから、修正プログラムの取り違いを起こす可能性も考えられる。ファイル・サイズなどを確認した上で、適用を行った方がよい。

　修正プログラムが正しく適用できたかどうかは、以下のレジストリ・キーにある値を調べることで確認できる。

・Exchange 2000 Server SP3：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Exchange Server 2000\SP4\KB931832\Filelist以下のファイル一覧を確認する

・Exchange Server 2003 SP1：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Exchange Server 2003\SP2\KB931832\Filelist以下のファイル一覧を確認する

・Exchange Server 2003 SP2：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Exchange Server 2003\SP3\KB931832\Filelist以下のファイル一覧を確認する

・Exchange Server 2007：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Exchange 2007\SP1\KB935490以下のファイル一覧を確認する

・Exchange 2000 Server SP3：
［展開ビュー］−［Exchange］タブに「名前：Exchange2000-KB931832-x86-JPN.exe」で登録

・Exchange Server 2003 SP1：
［展開ビュー］−［Exchange］タブに「名前：Exchange2003-KB931832-x86-JPN.exe」で登録

・Exchange Server 2003 SP2：
［展開ビュー］−［Exchange］タブに「名前：Exchange2003-KB931832-x86-JPN.exe」で登録

・Exchange Server 2007：
UpdateEXPERTのサポート対象外