Microsoftエージェントがキャラクターを参照する方法に起因する脆弱性が存在し、インターネット・コンテンツが詐称される危険性がある。この脆弱性が悪用されると、ユーザーが閲覧していると認識しているWebサイトを、攻撃者が用意した偽のWebサイトに詐称することができる。フィッシング詐欺などに悪用される危険性がある。

　攻撃は、ほかのWebサイトやHTML形式のメールに配置したWebサイトへのリンクをユーザーにクリックさせて誘導することで実行される。この際、ユーザーに通知されるべきセキュリティ警告が、Microsoftエージェントのキャラクターによって偽装されて、ユーザーが無意識のうちに悪質なプログラムをインストールしてしまう危険もある。

　マイクロソフトによれば、MS05-032の脆弱性は非公開で報告されたとしており、実証コードや攻撃例は確認されていないという。現在のところ、MS005-032の脆弱性に対する詳細なレポートも公開されていない。攻撃に悪用されるには比較的時間がかかると思われる。ただし、攻撃手法が明らかになった場合、スパイウェアやアドウェアのインストールへの悪用が懸念される脆弱性である。なるべく早期に修正プログラムを適用しておいた方がよい。

　Microsoftエージェントとは、アニメーションするキャラクターを使ったユーザーとのインタラクティブなユーザー・インターフェイスを提供するソフトウェア技術である。Speech API（Text-to-Speech Engine）と組み合わせることで、音声合成でキャラクターに話させることもできる。HTMLにVB Scriptを記述することで、エージェントを利用することも可能だ（ただし、ユーザー環境によっては利用できない場合がある）。

　Internet ExplorerなどでMicrosoftエージェントのキャラクターを参照する際に、キャラクターのインストール元を確認しない脆弱性が存在する。そのため、インストール元のキャラクター・データなどを細工することで、脆弱性が悪用できる。最悪の場合、Microsoftエージェントのキャラクターの偽装により、無意識にプログラムがインストールされる危険性がある。

　修正プログラムを適用することで、Microsoftエージェントのキャラクターがインストールされる前に確認メッセージが表示されるようになる。ただし、キャラクターのインストール元がInternet Explorerの「信頼済みサイト」に登録されている場合は、確認メッセージは表示されない。

■適用テストの結果
　DA Labでは、以下のプラットフォームで修正プログラムの適用テストを行った。

■MicrosoftエージェントのActiveXコントロール バージョン1.5は廃止される
　MS05-032の修正プログラムを適用すると、MicrosoftエージェントのActiveXコントロールのバージョン1.5に対して新たにkillbit（HTMLレンダリング・エンジンにより、ActiveXコントロールが読み込まれないようにするInternet Explorerのセキュリティ機能）が設定され、利用できなくなる。これにより、バージョン1.5を利用するMicrosoftエージェントのコンテンツが正常に閲覧できなくなる可能性がある。

■Windows 98／98SE／Meにも脆弱性あり
　TechNetセキュリティ情報によれば、Windows 98／98SE／MeにもMS05-032の脆弱性が存在する。ただしマイクロソフトはこれらを「緊急ではない」と判断しており、修正プログラムの提供は行われない。信頼できないWebサイトは訪問しないなど、運用による脆弱性の回避が必要となる。

■MBSA 1.21の結果
　MS05-032の修正プログラムが正しく適用されているかどうかは、MBSA 1.21で確認可能だ。未適用の場合は、「Windowsのセキュリティの更新」の「結果の詳細情報」に、「Microsoft エージェントの脆弱性により、なりすましが行われる (890046)」が表示される。

　修正プログラムが正しく適用できたかどうかは、以下のレジストリ・キーにある値を調べることで確認できる。

・Windows 2000 SP3／SP4：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows 2000\SP5\KB890046\Filelist以下のファイル一覧を確認する

・Windows XP SP1／SP1a／SP2：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows XP\SP3\KB890046\Filelist以下のファイル一覧を確認する

・Windows Server 2003 SP未適用／SP1：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows Server 2003\SP2\KB890046\Filelist以下のファイル一覧を確認する

・Windows 2000 SP3／SP4：
［展開ビュー］−［OS］タブに「名前：Windows2000-KB890046-x86-JPN.EXE」で登録

・Windows XP SP1／SP1a／SP2：
［展開ビュー］−［OS］タブに「名前：WindowsXP-KB890046-x86-JPN.exe」で登録

・Windows Server 2003 SP未適用／SP1：
UpdateEXPERT 5.1：サポート対象外
UpdateEXPERT 6.1：［展開ビュー］−［OS］タブに「WindowsServer2003-KB890046-x86-jpn.exe」で登録