Microsoft管理コンソール（MMC）にクロスサイト・スクリプティング（→ キーワード）の脆弱性が存在し、細工されたWebページを開くなどすると、任意のコードが実行される危険性がある。アドウェアやスパイウェアのインストールなどに悪用されることが懸念される脆弱性である。

　デフォルトの設定で、IE 5.01はインターネット・ゾーンを含むすべてのWebサイトのアクセスにおいて、IE 6 SP1はイントラネット・ゾーンのWebサイトのアクセスにおいて、それぞれ攻撃を受ける可能性がある。IE 6 SP1は、デフォルトでインターネット・ゾーンのURLからローカル・ファイルのアクセスをブロックする設定となっているため、設定を変更していない限りインターネットから直接攻撃を受けることはない。しかしウイルスやワームなどに悪用された場合、感染した社内のコンピュータから攻撃が仕掛けられる可能性もあるので、IE 6 SP1を利用している場合でも至急、修正プログラムを適用した方がよい。

　マイクロソフトによれば、MS06-044の脆弱性は非公開で報告されたとしており、現時点で攻撃例は確認されていないという。

キーワード
クロスサイト・スクリプティング （cross-site scripting）
　本来は実行が許可されるべきでない外部Webサイトなどのスクリプト・プログラムが実行されてしまう脆弱性、またはそうした脆弱性を悪用した攻撃。

・セキュリティ用語 クロスサイト・スクリプティング（cross-site scripting）：
http://www.hotfix.jp/archives/word/2003/word03-04.html

　MMCは、ユーザー対話型の管理ツール・プラトフォームである。スナップインと呼ばれる管理ツールを読み込むことで、Windowsシステムのハードウェア、ソフトウェア、ネットワーク・コンポーネントなど、さまざまな管理作業を共通のインターフェイスで行えるようにする。

　このMMCのライブラリに組み込まれたHTMLのリソース・ファイルが、Internet Explorer（IE）を介してインターネットもしくはイントラネットから直接参照可能となっている。その結果、Webページを開くなどするだけで、細工したスクリプトなどがMMCで実行させられる危険性がある。

■適用テストの結果
　DA Labでは、以下のプラットフォームで修正プログラムの適用テストを行った。

■MBSA 2.0の結果
　MS06-044の修正プログラムが正しく適用されているかどうかは、MBSA 2.0で確認可能である。未適用の場合は、「Windowsのセキュリティの更新プログラム」の「結果の詳細情報」に以下のいずれかが表示される。

• Windows 2000 用セキュリティ更新プログラム (KB917008)

　修正プログラムが正しく適用できたかどうかは、以下のレジストリ・キーにある値を調べることで確認できる。

・Windows 2000 SP4：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows 2000\SP5\KB917008\Filelist以下のファイル一覧を確認する

・Windows 2000 SP4：
［展開ビュー］−［OS］タブに「名前：Windows2000-KB917008-x86-JPN.EXE」で登録