Windows SharePoint ServicesとSharePoint Team Servicesが、HTMLリダイレクト・クエリに送る入力を十分に検証しないという脆弱性がある。その結果、クロスサイト・スクリプティング（→　キーワード）やWebページのなりすましによって、ユーザーが悪意のあるスクリプトを実行するように仕向けたり、情報が漏えいしたりする危険性がある。

　マイクロソフトによれば、MS05-006の脆弱性は非公開で報告されたとしており、実証コードや攻撃例は確認されていないという。ただし脆弱性情報の告知によって、実証コードの公開や、実際の攻撃が実施される可能性は高まった。自身のシステムに対する影響の有無を早期に判断し、適切な対応をとる必要がある。

　クロスサイト・スクリプティングの脆弱性に対する攻撃は、HTML形式の電子メールに含まれる細工したクエリを、ユーザーがクリックするように誘導することで実行される。この結果、攻撃用スクリプトがユーザーのセキュリティ・コンテクストで実行され、Windows SharePoint Services／SharePoint Team Servicesサーバ上でユーザーしかアクセスできないファイルへのアクセスが可能になる。また、なりすましの脆弱性が攻撃されると、Webブラウザのキャッシュや中間プロキシ・サーバのキャッシュが改ざんされ、本来とは異なる「なりすまし」コンテンツがユーザーに提供される可能性がある。

　なおSharePoint Team Servicesは、以下のOfficeアプリケーションで提供されている情報共有を行うための機能である。SharePoint Team ServicesをWebサイトにインストールすることで、メンバーによる情報共有（アドレス帳や予定表、掲示板など）を可能にする。

• FrontPage 2002
• Office XP Professional with FrontPage
• Office XP Developer

　またWindows SharePoint Servicesは、Windows Server 2003向けの無償アドオンで、Officeなどを利用した情報共有を可能にする機能を提供するものだ。なおマイクロソフトは、Windows SharePoint Servicesをベースとして、複数のエンタープライズ向け機能を追加したEIP（Enterprise Informational Portal）構築用の有償パッケージとしてSharePoint PortalServerを販売しているが、こちらは今回の脆弱性の影響は受けないと説明している。

■適用テストの結果
　DA Labでは、以下のプラットフォームで修正プログラムの適用テストを行った。

■SharePoint Team Services向けの適用にはOffice XP SP3の適用が必要
　MS05-006のSharePoint Team Services向けのクライアント用更新プログラム（差分のみがパッケージ化されたファイル・サイズが小さい修正プログラム）を適用するには、Office XP SP3を適用していることが条件となっている。管理者用更新プログラム（更新するファイルがすべて含まれたファイル・サイズが大きな修正プログラム）の場合、Office XP SP2 for Office Web Components、またはOffice XP SP3 for SharePoint Team Servicesのどちらかが適用済みなら、適用可能である。

■SharePoint Team Services以外のOffice XPアプリケーションも更新される
　MS05-006のSharePoint Team Services向け修正プログラムは、SharePoint Team Servicesを構成するサーバ系のDLLファイルだけではなく、クライアント系のDLLファイルも更新する。そのため、一見SharePoint Team Servicesとは関係のないOffice XPアプリケーションも、この修正プログラムの更新対象となる。調査した限りでは、Office XPスイート製品はもとよりExcel 2002やWord 2002、Outlook 2002などの単体版Office XPアプリケーションも対象となる。

　SharePoint Team ServicesとほかのOffice XPアプリケーションを同じコンピュータにインストールしている場合、この修正プログラムを適用すると、両方のインストールCDが要求される可能性がある。適用前に両方ともあらかじめ用意しておきたい。

■SharePoint Team ServicesはOffice Update、Windows SharePoint ServicesはWindows Update／SUSで更新できる
　SharePoint Team ServicesはOffice XP製品に添付されるコンポーネントのため、Office Updateで更新できる。一方、Windows SharePoint ServicesはWindows Server 2003というOSのアドオンのため、Windows Updateで更新できる。「SharePoint」という名が付いていても、両者の更新方法は大きく異なるので注意が必要だ。

■MBSA 1.21の結果
　MS05-006のSharePoint Team Services向け修正プログラムが正しく適用されているかどうかは、MBSA 1.21で確認可能だ。未適用の場合は、「Officeのアップデート」の「結果の詳細情報」に、「SharePoint Team Services セキュリティ更新プログラム (KB890829)」が表示される。ただし、SharePoint Team ServicesはMBSAをローカルで実行した場合のみ検出可能である。

　一方、MS05-006のWindows SharePoint Services向け修正プログラムの適用は、MBSA 1.21では検出できない。

　修正プログラムが正しく適用できたかどうかは、置き換わるファイルのバージョンで確認する。

・SharePoint Team Services：
サポート対象外

・Windows SharePoint Services：
UpdateEXPERT 5.1：サポート対象外
UpdateEXPERT 6.1：［展開ビュー］−［IIS］タブに「名前：wss2003-kb887981-fullfile-jpn.exe」で登録