ショートカット・ファイル（lnkファイル）のプロパティ処理と、WindowsエクスプローラがHTML文字を検証する方法に脆弱性が存在し、任意のコードが実行される危険性がある。どの脆弱性が悪用されても、最悪の場合、コンピュータの制御が完全に奪われてしまう。

　ショートカット・ファイルの脆弱性では、細工されたlnkファイルを開くだけで任意のコードが実行される。そのため攻撃は、ユーザーにWebサイト上のリンクをクリックさせたり、電子メールの添付ファイルを開かせたりするように誘導することで実行される可能性がある。スパイウェアのインストールなどに悪用されることも懸念されるので注意が必要だ。

　マイクロソフトによれば、MS05-049の3種類の脆弱性はすべて非公開で報告されたとしており、実証コードや攻撃例は確認されていないという。ただし、修正プログラムが公開されたことから、詳細な報告書や実証コードが公開される可能性もある。最近では実証コードが公開されると、数日内に悪用される傾向にある。攻撃が開始される前に修正プログラムを適用した方がよい。

　MS05-049の修正プログラムは、以下の3種類の脆弱性を解消する。

■シェルの脆弱性（深刻度：重要　CVE：CAN-2005-2122）
　ショートカット・ファイル（lnkファイル）のプロパティ処理に脆弱性が存在し、ファイルを開くだけで任意のコードが実行される。lnkファイルのリンクをWebページ上に置くことで、リンクをクリックしただけで攻撃が実行できる。アドウェアやスパイウェアのインストールなどに悪用されることが懸念される脆弱性だ。Windows 2000／XP／Server 2003が脆弱性の対象となっている。

■シェルの脆弱性（深刻度：重要　CVE：CAN-2005-2118）
　上記のシェルの脆弱性と同様、ショートカット・ファイルのプロパティ処理に脆弱性が存在し、細工されたlnkファイルのプロパティを表示すると、任意のコードが実行される。ユーザーが操作してプロパティを表示させる必要があるため、危険性はそれほど高くないと思われる。Windows 2000とWindows XP SP1／SP1aが脆弱性の対象となっており、Windows XP SP2／Windows Server 2003は影響を受けないとしている。

■Webの表示のスクリプト・インジェクションの脆弱性（深刻度：警告　CVE：CAN-2005-2117）
　Windowsエクスルプローラの「Webの表示」機能で、ドキュメント・フィールド内に仕込まれたHTML文字が正しく検証されない脆弱性が存在する。「Webの表示」機能とは、ファイル／フォルダの情報やファイルの内容を、Windowsエクスプローラの右側のペインに縮小表示でプレビューする機能である。Windows 2000のWindowsエクスプローラは、デフォルトで「Webの表示」が選択されている。

　この脆弱性により、細工されたファイルをWindowsエクスプローラでプレビューすると、フィールド内に仕込まれたスクリプトが実行されてしまう。MS05-024で同様の脆弱性が報告されているが、原因が異なるものだ。ただ、ローカルまたはリモートに置かれた細工されたファイルを含むフォルダを、ユーザーがWindowsエクスプローラで開き、ファイルをプレビューすると攻撃が実行される点は同じだ。現在のところ実証コードなどが公開されていないが、MS05-024と同様、比較的容易に悪用が可能な脆弱性であると予想されるため注意が必要である。

　なおこの脆弱性は、Windowsエクスプローラで「Webの表示」を有効にしているWindows 2000のみ影響を受ける。Windows 2000でも、「Webの表示」を無効にしていれば影響を受けないので、利用に支障がなければ［フォルダ オプション］−［全般］タブの「Webの表示」を「従来のWindowsフォルダを使う」に変更しておくとよい。

・HotFix Alert MS05-024（Windowsエクスプローラの「Webの表示」機能の脆弱性により、リモートで任意のコードが実行される危険性）：
http://www.hotfix.jp/archives/alert/2005/ms05-024.html

・TechNetセキュリティ情報 MS05-024（「Web の表示」の脆弱性により、リモートでコードが実行される）：
http://www.microsoft.com/japan/technet/security/Bulletin/MS05-024.mspx

■適用テストの結果
　DA Labでは、以下のプラットフォームで修正プログラムの適用テストを行った。

■Windows 2000では適用前にInternet Explorerのバージョンを確認すること
　MS05-049のWindows 2000向け修正プログラムは、Internet Explorerのバージョンによって置き換えられるファイルが変化する。具体的には以下のとおりである。

　上記に該当しないバージョンのInternet Explorerがインストールされている場合、shlwapi.dllが更新されないので注意が必要だ。現在、Windows 2000でマイクロソフトのサポート対象となるInternet Explorerのバージョンは、上表の2つだけである。Internet Explorer 5.5などを利用している場合は、早急にInternet Explorer 6 SP1に更新すべきだ。

■Windows XP SP2とWindows Server 2003 SP1では［プログラムの追加と削除］で表示形式が日付順になる修正ツールが実行される
　Windows XP SP2とWindows Server 2003 SP1では、update.exe 6.1を使用してビルドされた修正プログラムが、コントロール・パネルの［プログラムの追加と削除］で日付順に並ばないという不具合がある。これは、 update.exe 6.1を使用してビルドされたパッケージのレジストリ・キーに、「Installed On」属性がないことに起因する。

　MS05-049の修正プログラムは、Windows XP SP2またはWindows Server 2003 SP1で実行されると、この不具合を解消する「arpidfix.exe」を実行し、［プログラムの追加と削除］の表示項目表示が日付順に並ぶように「Installed On」属性を付加する。arpidfix.exeは、修正プログラムの実行時のみ使用される。

・サポート技術情報 904630（Arpidfix.exe ツールについて）：
http://support.microsoft.com/default.aspx?scid=kb;ja;904630

■MBSA 2.0の結果
　MS05-050の修正プログラムが正しく適用されているかどうかは、MBSA 2.0で確認可能だ。未適用の場合は、「Windowsのセキュリティの更新」の「結果の詳細情報」に、「Windows ｛2000／XP／Server 2003｝ 用セキュリティ更新プログラム (KB900725)」が表示される。参考までにMBSA 1.21では「Windowsのセキュリティの更新」に「Windows シェルの脆弱性により、リモートでコードが実行される (900725)」が表示される。

　修正プログラムが正しく適用できたかどうかは、以下のレジストリ・キーにある値を調べることで確認できる。

・Windows 2000 SP4：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows 2000\SP5\KB900725\Filelist以下のファイル一覧を確認する

・Windows Server 2003 SP未適用／SP1：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows Server 2003\SP2\KB900725\Filelist以下のファイル一覧を確認する

・Windows 2000 SP4：
［展開ビュー］−［OS］タブに「名前：Windows2000-KB900725-x86-JPN.EXE」で登録

・Windows XP SP1／SP1a／SP2：
［展開ビュー］−［OS］タブに「名前：WindowsXP-KB900725-x86-JPN.exe」で登録

・Windows Server 2003 SP未適用／SP1：
UpdateEXPERT 5.1：サポート対象外
UpdateEXPERT 6.1：［展開ビュー］−［OS］タブに「名前：WindowsServer2003-KB900725-x86-JPN.exe」で登録