Windows OSの標準サービスであるインデックス・サービスがクエリのパラメータを検証する方法に脆弱性が存在し、クロスサイト・スクリプティング（→ キーワード）が実行される危険性がある。細工されたWebページを開くと、悪意のあるスクリプトが実行されてしまう。その結果、攻撃者によってクライアント側のスクリプトが実行され、情報が漏えいしたり、ユーザーが可能な操作をスクリプトから実行されたりする可能性がある。

　マイクロソフトによれば、MS06-053の脆弱性は非公開で報告されたとしており、攻撃例は確認されていないという。

キーワード
クロスサイト・スクリプティング （cross-site scripting）
　本来は実行が許可されるべきでない外部Webサイトなどのスクリプト・プログラムが実行されてしまう脆弱性、またはそうした脆弱性を悪用した攻撃。

・セキュリティ用語 クロスサイト・スクリプティング（cross-site scripting）：
http://www.hotfix.jp/archives/word/2003/word03-04.html

　脆弱性は、インデックス・サービスが正しくパラメータを検証しないことに起因する。その結果、細工されたWebページによって、検証エラーが発生し、攻撃者のスクリプトが実行されてしまう。通常、攻撃はInternet Explorerを介して実行されることになる。

　インデックス・サービスは、ファイル・システムやWebサーバ情報に関するインデックスを作成し、管理や検索を容易にするものである。インデックス・サービスは、デフォルトでWindows Server 2003では有効になっていない。またWindows Server 2003でインデックス・サービスを有効化した場合でも、デフォルトではIISからアクセスされないようになっている。ただしWindows OSを用いてIISでWebサイトを構築している場合、検索サービス用としてインデックス・サービスを有効にしていると、脆弱性の影響を受けるので注意が必要だ。

■適用テストの結果
　DA Labでは、以下のプラットフォームで修正プログラムの適用テストを行った。

■MBSA 2.0の結果
　MS06-053の修正プログラムが正しく適用されているかどうかは、MBSA 2.0で確認可能である。未適用の場合は、「Windowsのセキュリティの更新プログラム」の「結果の詳細情報」に以下のいずれかが表示される。

• Windows 2000 用セキュリティ更新プログラム (KB920685)
• Windows XP 用セキュリティ更新プログラム (KB920685)
• Windows Server 2003 用セキュリティ更新プログラム (KB920685)

■インデックス・サービスを再インストールしたら、ファイルバージョンも再確認
　MS06-053の修正プログラムは、%SystemRoot%\system32にあるciodm.dllおよびquery.dllというインデックス・サービス関連の.DLLファイルを更新する（Windows 2000ではquery.dllのみ）。これらのファイルは、インデックス・サービスをアンインストールしてもシステムに残る。このことから、インデックス・サービスやIISの有無に関係なく、MS06-053の修正プログラムは適用しておいた方が安全だ。

　修正プログラムが正しく適用できたかどうかは、以下のレジストリ・キーにある値を調べることで確認できる。

・Windows 2000 SP4：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows 2000\SP5\KB920685\Filelist以下のファイル一覧を確認する

・Windows XP SP1／SP1a／SP2：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows XP\SP3\KB920685\Filelist以下のファイル一覧を確認する

・Windows Server 2003 SP未適用／SP1／R2：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows Server 2003\SP2\KB920685\Filelist以下のファイル一覧を確認する

・Windows 2000 SP4：
［展開ビュー］−［OS］タブに「名前：Windows2000-KB920685-x86-JPN.EXE」で登録

・Windows XP SP1／SP1a／SP2：
［展開ビュー］−［OS］タブに「名前：WindowsXP-KB920685-x86-JPN.exe」で登録

・Windows Server 2003 SP未適用／SP1／R2：
［展開ビュー］−［OS］タブに「名前：WindowsServer2003-KB920685-x86-JPN.exe」で登録