Outlook ExpressのWindowsアドレス帳（.wab）の機能に未チェック・バッファの脆弱性が存在する。細工された.WABファイルを開くとメモリ破損が起こり、任意のコードが実行される危険性がある。攻撃は、細工した.wabファイルをWebページ上に置くか、電子メールの添付ファイルとして送信し、それをユーザーに開かせるように誘導することで実行される。

　マイクロソフトによれば、MS06-076の脆弱性は非公開で報告されたとしており、現時点では攻撃例は確認されていないという。ただし脆弱性が公開されたことから、悪用の危険性が高まることが予想される。なるべく早期に修正プログラムを適用した方がよい。

　.wabファイルは、連絡先に関する情報を保存し、Outlook Expressなどのプログラムから取り出すことを可能にする機能だ。

　Outlook Expressが、細工された.wabファイルを読み込む際に、長さを検証せずに割り当てたバッファにデータを渡すことから、バッファ・オーバーフローが発生する。.wabファイルを開くだけで、任意のコードが実行される危険性がある。

■適用テストの結果
　DA Labでは、以下のプラットフォームで修正プログラムの適用テストを行った。

■MBSA 2.0の結果
　MS06-076の修正プログラムが正しく適用されているかどうかは、MBSA 2.0で確認可能だ。未適用の場合は、「Windowsのセキュリティの更新」の「結果の詳細情報」にOSおよびOutlook Expressのバージョンによって以下のいずれかが表示される。

• Outlook Express 5.5 Service Pack 2 の累積的な修正プログラム (KB923694)
• Outlook Express 6 Service Pack 1 の累積的な修正プログラム (KB923694)
• Windows XP 用 Outlook Express の累積的なセキュリティ更新プログラム (KB923694)
• Windows Server 2003 用 Outlook Express の累積的なセキュリティ更新プログラム (KB923694)

■Outlook Expressのバージョンに関する注意点
　MS06-076では、Windows OSおよびOutlook Expressのバージョンによって、以下のように異なる修正プログラムが提供されている。

　Outlook ExpressはInternet Explorer（IE）と一緒にインストールされるが、そのバージョンはIEと連動しないことがある。特にWindows 2000 SP4では、IEのバージョンが5.01 SP4／5.5 SP0／5.5 SP1／5.5 SP2のいずれでも、Outlook Expressのバージョンは5.5 SP2となるため、分かりにくくなっている。またMS06-076のOutlook Express 5.5 SP2用修正プログラムの対象は、Windows 2000 SP4＋IE 5.01 SP4だけに限定されており、IE 5.5系がインストールされていると適用できない。この場合はIE 6 SP1に更新してから、Outlook Express 6 SP1用修正プログラムを適用する必要がある。

　またIE 7をインストールしてもOutlook Expressのバージョンは6のまま変わらない。つまりIE7がインストール済みであっても、MS06-076のOutlook Express 6用修正プログラムを適用する必要があるということだ。

■Outlook ExpressまたはWindowsアドレス帳を開くとエラー・メッセージが表示されることがある
　MS06-016と同様、MS06-076の修正プログラムを適用した後にOutlook ExpressまたはWindowsアドレス帳を開くと、「アドレス帳を開けません。アドレス帳が正しくインストールされていない可能性があります。」といったエラー・メッセージが表示されることがある。

　この不具合はWindowsアドレス帳が破損している場合に発生するということだ。古いバージョンのOutlook Expressで作成したアドレス帳を長期にわたり使っていると、一部が破損することがある。MS06-016／076の修正プログラムが適用される以前のOutlook ExpressではWindowsアドレス帳の破損が検出されず、機能に影響がなかった。しかしMS06-016／076の修正プログラムを適用することによって、Windowsアドレス帳のデータが検証されるようになるため、破損している場合に前述のエラー・メッセージが表示される。不具合の解消方法は、「サポート技術情報：917288」または「HotFix Weekly 2006/05/10日付け配信」を参照してほしい。

・サポート技術情報 917288（累積的なセキュリティ更新プログラム 911567 (MS06-016) をインストールした後に Windows アドレス帳または Outlook Express を開くと、エラー メッセージが表示される）：
http://support.microsoft.com/default.aspx?scid=kb;ja;917288

・HotFix Weekly 2006/05/10日付け配信（MS06-016の修正プログラム適用でWindowsアドレス帳などを開くとエラー・メッセージが表示される不具合が発生）：
http://www.hotfix.jp/archives/alert/2006/news06-0510.html#04

■Windows XP SP1／SP1a＋Outlook Express 6 SP1に対する修正プログラムは提供されない
　Windows XP SP1／SP1aは、2006年10月11日にサポート・ライフサイクルが終了したため、Windows XP SP1／SP1a＋Outlook Express 6 SP1向けのMS06-076の修正プログラムは提供されない。Windows XP SP2を適用してから、MS06-076の修正プログラムを適用する必要がある。

　修正プログラムが正しく適用できたかどうかは、以下のレジストリ・キーにある値を調べることで確認できる。

・Outlook Express 5.5 SP2（Windows 2000 SP4＋IE 5.01 SP4）：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Outlook Express 5.50\SP2\KB923694-OE55SP2-20061106.120000\Filelist以下のファイル一覧を確認する

・Outlook Express 6 SP1（Windows 2000 SP4）：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Outlook Express 6\SP1\KB923694-OE6SP1-20061106.120000\Filelist以下のファイル一覧を確認する

・Outlook Express 6（Windows XP SP2）：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows XP\SP3\KB923694\Filelist以下のファイル一覧を確認する

・Outlook Express 6（Windows Server 2003 SP未適用／SP1／R2）：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows Server 2003\SP2\KB923694\Filelist以下のファイル一覧を確認する

・Outlook Express 5.5 SP2（Windows 2000 SP4＋IE 5.01 SP4）：
［展開ビュー］−［IE］タブに「名前：OE5.5sp2-KB923694-Windows2000-x86-JPN.exe」で登録

・Outlook Express 6 SP1（Windows 2000 SP4）：
［展開ビュー］−［IE］タブに「名前：OE6.0sp1-KB923694-Windows2000-x86-JPN.exe」で登録

・Outlook Express 6（Windows XP SP2）：
［展開ビュー］−［IE］タブに「名前：WindowsXP-KB923694-x86-JPN.exe」で登録

・Outlook Express 6（Windows Server 2003 SP未適用／SP1／R2）：
［展開ビュー］−［IE］タブに「名前：WindowsServer2003-KB923694-x86-JPN.exe」で登録