Exchanger ServerがvCAL（仮想カレンダー）とiCAL（インターネット・カレンダー）のプロパティを処理する過程に脆弱性が存在する。細工されたvCALまたはiCALのプロパティを含む電子メールをExchange Serverが受信すると、任意のコードが実行される危険性がある。インターネットに接続されたExchangeサーバが、メールの受信によって匿名のリモート攻撃を受ける危険があるという深刻な脆弱性だ。

　マイクロソフトによれば、MS06-019の脆弱性は非公開で報告されたとしており、実証コードや攻撃例は確認されていないという。しかしネットワークを介した攻撃が可能であり、攻撃を受けるとサーバの制御が完全に奪われたり、サーバ内に保存されている情報が漏えいしたりする危険性がある（さらに、Exchange Serverがインストールされたコンピュータが攻撃によってのっとられ、そこからネットワーク全体に脅威が及ぶ危険性も否定できない）。また、ウイルスやワームへの悪用も懸念される。悪用された場合の影響が大きいので、至急、修正プログラムの適用を行った方がよい。

　vCAL／iCALは、カレンダーおよびスケジュールに関連する情報を送信および交換する際に、Exchange Serverや電子メール・ソフトウェアにより使用されるMIMEコンテンツ・タイプである。vCAL／iCALはスケジューラの標準フォーマットとなっており、vCAL／iCALに対応したスケジューラ・ソフトウェアならば、異なるOSであっても相互にやり取りできる。またiCALを利用することで、受信したOutlookの予定表に会議の予定を自動的に追加することも可能だ（Outlookの「会議の計画」機能などで「iCalendarとして転送」を利用する）。

　Exchange Serverが、このvCAL／iCALプロパティを処理する過程にバッファ・オーバーフローの脆弱性が存在する。Exchange Serverが細工されたvCAL／iCALプロパティを含む電子メールを受信すると、自動的に処理が行われ、バッファ・オーバーフローが起きて、任意のコードが実行されてしまう。匿名のユーザーによって、細工された電子メールが送信されることで攻撃が実行される危険性がある。

■適用テストの結果
　DA Labでは、以下のプラットフォームで修正プログラムの適用テストを行った。

■Exchange Server 2003 SP1には「サポート技術情報：895949」の仕様変更が含まれる
　Exchange Server 2003 SP1向けのMS06-019の修正プログラムには、「サポート技術情報：895949」で説明されている「送信者」アクセス許可に関する仕様変更が含まれている（Exchange Server 2003 SP1向け以外の修正プログラムには含まれない）。

　これは従来、「フル メールボックス アクセス」アクセス権を持つユーザーはデフォルトで「送信者」アクセス許可も与えられるため、メールボックスの所有者としてメールを送信できる、というセキュリティ設定を変更して送信者の詐称などを防ぐものだ。しかし、この仕様変更によってモバイル・デバイスなどから電子メールが送信できないという不具合が生じることがある。具体的な条件および対策方法は「サポート技術情報：912918」に記されているので、適用前に参照した方がよい。

・サポート技術情報 895949（Exchange 2003 における "送信者" アクセス許可の動作の変更）
http://support.microsoft.com/default.aspx?scid=kb;ja;895949

・サポート技術情報 912918（ユーザーは、モバイル デバイスまたは Exchange 2000 Server と Exchange Server 2003 共有メールボックスから電子メール メッセージは送信できません）：
http://support.microsoft.com/default.aspx?scid=kb;ja;912918（機械翻訳）

■Exchange 2000 Server SP3には「更新プログラムのロールアップ」のインストールが必要
　Exchange 2000 Server SP3にMS06-019の修正プログラムを適用するには、2004年8月にリリースされた「更新プログラムのロールアップ」を事前にインストールしておく必要がある。「更新プログラムのロールアップ」では、多くの不具合が修正される一方、多くのファイルが置き換わる。事前に十分な検証を行った上でインストールする必要がある。

・サポート技術情報 870540（2004 年 8 月公開の Exchange 2000 Server Service Pack 3 以降の更新プログラムのロールアップ）：
http://support.microsoft.com/default.aspx?scid=kb;ja;870540

・ダウンロード・センター（Exchange 2000 用 更新プログラムのロールアップ (KB870540)）：
http://www.microsoft.com/downloads/details.aspx?displaylang=ja&
familyid=363a57a4-8bed-4bbb-bbe4-abc11ab04611

■適用時に関連サービスが再起動される
　MS06-019の修正プログラムは、適用時にExchange Serverおよび関連するIISのサービスを自動的に再起動する。具体的には、ExchangeのInformation StoreやIntersite Messaging、Routing Engine、IIS Admin（WWW／SMTP／NNTPなども含む）、POP3／IMAP4といったサービスが再起動する。つまりExchangeやIISが提供する主要なサービスが一旦停止するので、適用する前にこれらを利用するユーザーにサービスの一時停止を告知しておいた方がよい。

■Exchange Server 2003向け修正プログラムはSP1向けとSP2向けのファイル名が同じなので注意
　MS06-019のExchange Server 2003 SP1向けとSP2向けの修正プログラムはファイル名が「Exchange2003-KB916803-x86-JPN.exe」とまったく同じである。しかしExchange Server 2003 SP1向けとSP2向けでは、置き換わるファイルなどが異なっており、SP1向けをSP2に適用することなどはできない（適用時にエラーが発生する）。ファイル名が同じことから、修正プログラムの取り違いを起こす可能性も考えられる。ファイル・サイズなどを確認した上で、適用を行った方がよい。

■MBSA 2.0の結果
　MS05-050の修正プログラムが正しく適用されているかどうかは、MBSA 2.0で確認可能だ。未適用の場合は、「Exchange Serverのセキュリティの更新」の「結果の詳細情報」にExchange Serverのバージョンによって以下のいずれかが表示される。

• Exchange 2000 Server Service Pack 3 セキュリティ アップデート (KB916803)
• Exchange Server 2003 Service Pack 1 セキュリティ アップデート (KB916803)
• Exchange Server 2003 Service Pack 2 セキュリティ アップデート (KB916803)

　修正プログラムが正しく適用できたかどうかは、以下のレジストリ・キーにある値を調べることで確認できる。

・Exchange 2000 Server SP3：
HKEY_LOCAl_MACHINE\SOFTWARE\Microsoft\Updates\Exchange Server 2000\SP4\KB916803以下のファイル一覧を確認する

・Exchange Server 2003 SP1：
HKEY_LOCAl_MACHINE\SOFTWARE\Microsoft\Updates\Exchange Server 2003\SP2\KB916803以下のファイル一覧を確認する

・Exchange Server 2003 SP2：
HKEY_LOCAl_MACHINE\SOFTWARE\Microsoft\Updates\Exchange Server 2003\SP3\KB916803以下のファイル一覧を確認する

・Exchange 2000 Server SP3：
［展開ビュー］−［Exchange］タブに「名前：Exchange2000-KB916803-x86-JPN.exe」で登録

・Exchange Server 2003 SP1：
［展開ビュー］−［Exchange］タブに「名前：Exchange2003-KB916803-x86-JPN.exe」で登録

・Exchange Server 2003 SP2：
［展開ビュー］−［Exchange］タブに「名前：Exchange2003-KB916803-x86-JPN.exe」で登録