ハイパーリンク・オブジェクト・ライブラリの未チェック・バッファにより、コンピュータの制御が完全に奪われる危険性がある。細工したリンクを作成し、ユーザーにそのリンクをクリックするように誘導することで攻撃は実行される。またハイパーリンク・オブジェクト・ライブラリに不正なパラメータを渡すように細工したプログラムを利用して攻撃が行われる危険性もある。つまりウイルスやワームが、システムの制御を獲得するために悪用される危険がある。

　マイクロソフトによれば、MS05-015の脆弱性は非公開で報告されたとしており、実証コードや攻撃例は確認されていないという。ただし最近では脆弱性が公開されると、1カ月程度で実証コードや悪用した攻撃が現れるので注意が必要だ。ワームなどへの悪用が行われる前に、修正プログラムを適用しておきたい。

　ハイパーリンク・オブジェクト・ライブラリとは、ソフトウェア開発者にハイパーリンク処理の機能を提供するAPIである。このライブラリを利用することで、アプリケーション上にハイパーリンクの機能を容易に実装することができる。

　このハイパーリンク・オブジェクト（Hlink.dll）にバッファ・オーバーフローの脆弱性があり、細工されたリンクをクリックすると（不正なパラメータがHlink.dllに渡される）、任意のコードが実行される危険性がある。Webページ上またはHTML形式の電子メール内のリンクをクリックするように仕向けることで、攻撃が行われることが考えられる。

■適用テストの結果
　DA Labでは、以下のプラットフォームで修正プログラムの適用テストを行った。

■Windows NT 4.0 SP6a／2000 SP2／XP SP未適用向け修正プログラムは提供されない
　Windows NT Workstation 4.0 SP6a／2000 SP2は2004年6月30日に、Windows XP SP未適用は2004年9月30日にそれぞれサポート・ライフサイクルが終了したため、MS05-010の修正プログラムは提供されない。Windows 2000 SP2はSP3またはSP4を適用してから、Windows XP SP未適用はSP1a／SP2を適用してから、それぞれ対応する修正プログラムを適用する。

　また、Windows NT Server 4.0も2004年12月31日でサポート・ライフサイクルが終了しており、MS05-011の修正プログラムは提供されない。Windows NT 4.0 SP6aについては、脆弱性を解消する手段がないため、OS自体のバージョンアップが必要となる。

■Windows 98／98SE／Me向け修正プログラムはWindows Updateのみで提供
　Windows 98／98SE／Meに対するMS05-015の脆弱性は「緊急」に位置付けられており、修正プログラムの提供が予定されている。ただしWindows 98／98SE／Me向け修正プログラムはWindows Updateでのみの提供となっており、ダウンロード・センターからは入手できない（2005年2月11日現在、Windows Updateでも提供されていない）。企業内で展開するような場合は、Windows Updateカタログを利用して、修正プログラムを入手する必要がある。

■MBSA 1.21の結果
　MS05-015の修正プログラムが正しく適用されているかどうかは、MBSA 1.21で確認可能だ。未適用の場合は、「Windowsのセキュリティの更新」の「結果の詳細情報」に、「ハイパーリンク オブジェクト ライブラリの脆弱性により、リモートでコードが実行される (888113)」が表示される。

　修正プログラムが正しく適用できたかどうかは、以下のレジストリ・キーにある値を調べることで確認できる。

・Windows 2000 SP3／SP4：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows 2000\SP5\KB888113\Filelist以下のファイル一覧を確認する

・Windows XP SP1／SP1a／SP2：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows XP\SP3\KB888113\Filelist以下のファイル一覧を確認する

・Windows Server 2003：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows Server 2003\SP1\KB888113\Filelist以下のファイル一覧を確認する

・Windows 2000 SP3／SP4：
［展開ビュー］−［OS］タブに「名前：Windows2000-KB888113-x86-JPN.EXE」で登録

・Windows XP SP1／SP1a／SP2：
［展開ビュー］−［OS］タブに「名前：WindowsXP-KB888113-x86-JPN.exe」で登録

・Windows Server 2003：
UpdateEXPERT 5.1：サポート対象外
UpdateEXPERT 6.1：［展開ビュー］−［OS］タブに「名前：WindowsServer2003-KB888113-x86-jpn.exe」で登録