JScript（ECMA 262規格仕様の言語としてMicrosoftが実装したスクリプト言語）にメモリ破損の脆弱性が存在し、リモートで任意のコードが実行される危険性がある。細工されたJScriptファイルを含むWebページを開くと、攻撃が実行される。最悪の場合、コンピュータの制御が完全に奪われる可能性がある。

　マイクロソフトによれば、MS06-023の脆弱性は非公開で報告されたとしており、実証コードや攻撃例は確認されていないという。しかしこの脆弱性は、アドウェアやスパイウェアのインストールに悪用される危険性が高い。至急、修正プログラムを適用した方がよい。

　MS06-023の脆弱性は、JScriptがオブジェクトを早期に解放してしまいメモリ破損を引き起こすことに起因する。MS06-021の「例外処理のメモリの破損の脆弱性（CVE-2006-2218）」と組み合わせて攻撃が実行される危険性が高い。

■適用テストの結果
　DA Labでは、以下のプラットフォームで修正プログラムの適用テストを行った。

■MBSA 2.0の結果
　MS06-023の修正プログラムが正しく適用されているかどうかは、MBSA 2.0で確認可能だ。未適用の場合は、「Windowsのセキュリティの更新」の「結果の詳細情報」に以下のいずれかが表示される。

• Windows 2000 (Jscript Version 5.1) 用セキュリティ更新プログラム (KB917344)
• Windows 2000 (Jscript Version 5.6) 用セキュリティ更新プログラム (KB917344)
• Windows XP 用セキュリティ更新プログラム (KB917344)
• Windows Server 2003 用セキュリティ更新プログラム (KB917344)

■MS06-023はMS06-021と併せて適用する必要がある
　MS06-021の修正プログラムを適用すると、JScriptを利用したWebアプリケーションなどが表示されなくなるといった不具合が発生する可能性がある。これは、JScriptの脆弱性の影響を、IEで排除するために仕様が修正されたことによる。MS06-023の修正プログラムでは、JScriptの脆弱性を解消するとともに、MS06-021の修正プログラム適用によって生じる不具合も解消する。脆弱性と不具合を解消するには、MS06-021とMS06-023を併せて適用する必要がある。

■Windows 2000はJScriptのバージョンにより適用すべき修正が異なる
　Windows 2000にはデフォルトでJScript 5.1がインストールされている。しかしWindows Script 5.6にJScript 5.6が含まれており、Windows Script 5.6をインストールすると、自動的にJScriptも5.6にバージョンアップする。一方、Windows XP／Server 2003は初期状態でJScript 5.6がインストールされる。

　Windows Script 5.5／5.6はそれぞれInternet Explorer 5.5／6.0に含まれているため、Internet Explorerと連動してWindows Scriptもバージョンアップされることが多い。ただしWindows Scriptは単体でもバージョンアップできるので、必ずしもInternet Explorerのバージョンと一致しない点に注意が必要だ。

　MS06-023のWindows 2000向け修正プログラムは、インストールされているJScriptのバージョン（5.1または5.5／5.6）によって適用すべきパッケージが異なっている。JScriptのバージョンは、%SystemRoot%\system32\jscript.dllのプロパティを開き、［バージョン情報］タブの「ファイル バージョン」で確認できる。これが5.1.0.xxxxならばJScript 5.1向け修正プログラムを、5.5.0.xxxx／5.6.0.xxxxならばJScript 5.6向け修正プログラムをそれぞれ適用する必要がある。

　修正プログラムが正しく適用できたかどうかは、以下のレジストリ・キーにある値を調べることで確認できる。

・Windows 2000 SP4＋JScript 5.1：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows 2000\SP5\KB917344\Filelist以下のファイル一覧を確認する

・Windows 2000 SP4＋JScript 5.5／5.6：
　置き換わるファイルのバージョンをプロパティで調べることで確認する

・Windows XP SP1／SP1a／SP2：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows XP\SP3\KB917344\Filelist以下のファイル一覧を確認する

・Windows Server 2003 SP未適用／SP1：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows Server 2003\SP2\KB917344\Filelist以下のファイル一覧を確認する

・Windows 2000 SP4＋JScript 5.1：
［展開ビュー］−［IE］タブに「名前：Windows2000-KB917344-x86-JPN.EXE」で登録

・Windows 2000 SP4＋JScript 5.5／5.6：
［展開ビュー］−［IE］タブに「名前：Windows2000-KB917344-56-x86-jpn.Exe」で登録

・Windows XP SP1／SP1a／SP2：
［展開ビュー］−［IE］タブに「名前：WindowsXP-KB917344-x86-JPN.exe」で登録

・Windows Server 2003 SP未適用／SP1：
［展開ビュー］−［IE］タブに「名前：WindowsServer2003-KB917344-x86-JPN.exe」で登録