Flash Player 8.0.24およびその下位バージョンに5種類の脆弱性が存在する。細工されたSWFファイルを含むWebページを開くか、電子メールに添付されたSWFファイルを開くと、任意のコードが実行される危険性がある。アドウェア／スパイウェアのインストールや電子メール添付型ウイルスに悪用される危険性が懸念される。

　解消される脆弱性の中には、すでに実証コードが公開されているものも含まれている。悪用される危険性が高まっているので、至急、修正プログラムを適用した方がよい。ただし、MS06-069の修正プログラムが適用可能なのは、Windows XP SP2のデフォルト環境のみであり、Flash Playerをバージョンアップした環境には適用できないので注意してほしい。このような場合は後述の「DA Lab：HotFixテスティング・チームからのコメント」に示すように手動でバージョンアップを行う必要がある。

　MS06-069の修正プログラムは、以下の5種類の脆弱性を解消する。

・Macromedia（Adobe Flash Player8.0.24.0および下位バージョンの複数脆弱性）：
http://www.adobe.com/jp/support/security/bulletins/apsb06-11.html

■3種類の入力チェック・エラーの脆弱性（CVE：CVE-2006-3311／CVE-2006-3587／CVE-2006-3588）
　Flash Player 8.0.24.0およびその下位バージョンで、3種類の入力チェック・エラーの脆弱性が存在する。細工されたSWFファイルを開くと、メモリ破損が起こり、任意のコードが実行される危険性がある。すでに実証コードが公開されており、悪用される危険性が高くなっている。

■allowScriptAccessオプションがバイパスされる脆弱性（CVE：CVE-2006-4640）
　SWFファイル内のActionScriptが、そのコンテナであるHTMLページ内のJavaScriptを呼び出せるかどうかは、allowScriptAccessというオプションによって制御できる。しかし、このallowScriptAccessオプションによる保護がバイパスされ、JavaScriptが実行されてしまう危険性がある。

■OfficeにおけるActiveXコントロールの呼び出しの脆弱性（CVE：CVE-2006-3014）
　Office文書に埋め込まれたFlash PlayerのActiveXオブジェクトの処理に脆弱性が存在する。ExcelなどのOffice文書ファイルにFlash PlayerのActiveXオブジェクトが埋め込まれた場合、文書ファイルを開いただけで、埋め込まれたFlash Playerによって自動的にJavaScriptが実行されたり、悪意のあるWebページにリダイレクトされたりしてしまう。電子メール添付型のウイルスに悪用される危険性の高い脆弱性である。

■適用テストの結果
　DA Labでは、以下のプラットフォームで修正プログラムの適用テストを行った。

■MBSA 2.0の結果
　MS06-069の修正プログラムが正しく適用されているかどうかは、MBSA 2.0で確認可能だ。「Windows のセキュリティ更新」の「結果の詳細情報」に、「Flash Player 用セキュリティ更新プログラム (KB923789)」が表示される。

■修正プログラムはWindows XP SP2にプレインストールされているバージョンのみ対象
　MS06-069の修正プログラムは、マイクロソフトがWindows OSに同梱する形で再配布を行っているWindows XP SP2のFlash Player 6にのみ適用可能である。Flash Player 7以降にバージョンアップしている環境に対しては適用できない。

　現在、Flash Player 7以降を要求するWebページも多く、すでに多くのコンピュータでFlash Playerがバージョンアップされているものと思われる。そうした環境では、MS06-069の修正プログラムは適用できず、個別にFlash Playerのバージョンアップが必要となる。またFirefoxなどのIE以外のWebブラウザを利用している場合も、MS06-069の修正プログラムを適用したとしても脆弱性は解消されないので、個別にFlash Playerのバージョンアップが必要だ。

　なおWindows 2000などは、マイクロソフトがデフォルトでFlash Playerを組み込んでいないだけであり、PCベンダなどがプレインストールしていたり、そもそもユーザーが使用中にインストールしていたりする可能性がある。こうした場合でも、脆弱性を解消したFlash Playerへのバージョンアップが必要である。

　つまり多くの環境においてMS06-069の修正プログラムは適用できず、脆弱性を解消したFlash Playerの手動によるバージョンアップが必要になるわけだ。Windows Update／Microsoft UpdateなどにMS06-069の修正プログラムが表示されなくても、Flash Playerの脆弱性が存在する可能性がある点には注意が必要だ。

■Flash Playerのバージョンアップ方法
　現在、脆弱性が確認されているのは、Flash Playerの8.0.24.0および下位バージョンすべてである。該当するFlash Playerがインストールされている場合、最新のFlash Player 9.0.16.0にバージョンアップすることが推奨されている。Flash Playerのバージョンを確認するには、マクロメディアの「Adobe Flash Player サポートセンター」に普段使用しているWebブラウザでアクセスし、「Adobe Flash Player のバージョンテスト」のリンクをクリックする。ページが変わり、インストールされているFlash Playerのバージョンが表示される（MS06-069の修正プログラムを適用すると、WIN 6,0,88,0と表示されるはずだ）。

・アドビ システムズ（Adobe Flash Player サポートセンター）：
http://www.adobe.com/jp/support/flashplayer/

　脆弱性が存在するFlash Playerがインストールされている場合は、以下のURLから最新のFlash Player 9をダウンロードし、上書きでインストールすればよい。

・アドビ システムズ（その他の Web Player）：
http://www.adobe.com/jp/shockwave/download/alternates/

　組織内にある多数のコンピュータにFlash Playerの最新版を一括してインストールするには、以下のページから再配布可能なインストール・パッケージを入手すると便利だ。

・Adobe Systems（Home Player Licensing Adobe Player Licensing）：
http://www.adobe.com/licensing/

　修正プログラムが正しく適用できたかどうかは、以下のレジストリ・キーにある値を調べることで確認できる。

・Windows XP SP2：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{5056b317-8d4c-43ee-8543-b9d1e234b8f4}のIsInstalled（DWORD値）が「1」であることを確認する

・Windows XP SP2：
［展開ビュー］−［Media］タブに「名前：WindowsXP-KB923789-x86-JPN.exe」で登録