2006年4月12日、マイクロソフトは4月度の月例セキュリティ情報を公開し、修正プログラムの提供を開始した。公開されたセキュリティ情報はMS06-013〜017の5件で、最大深刻度は緊急（1）レベルが3件、重要（2）レベルが1件、警告（3）レベルが1件となっている。

• MS06-013［緊急］：Internet Explorer 用の累積的なセキュリティ更新プログラム

• MS06-014［緊急］：Microsoft Data Access Components (MDAC) の機能の脆弱性により、コードが実行される可能性がある

• MS06-015［緊急］：Windows エクスプローラの脆弱性により、リモートでコードが実行される

• MS06-016［重要］：Outlook Express 用の累積的なセキュリティ更新プログラム

• MS06-017［警告］：Microsoft FrontPage Server Extensions の脆弱性により、クロスサイト スクリプティングが起こる

HotFix Briefings（2006年3月31日版）

　とりわけ適用にあたって注意が必要なのは、MS06-013の修正プログラムである。これには、すでに脆弱性の存在が公開され、一部で攻撃も開始されていたcreateTextRange( )メソッドの脆弱性の修正プログラムのほか、Eolas Technologies社との特許係争の関係でActiveXコントロールの起動方法を変更する修正（MSKB 912945）が含まれる。

　MSKB 912945の修正内容の適用により、Internet Explorer（IE）がActiveXコントロールを処理する方法が変わるため、ユーザーの操作性が変更されたり、ActiveXコントロール自体が不具合を起こしたりすることが既知の問題として報告されている。MS06-013の修正プログラムを展開する際には、深刻な影響がないかどうか、組織的な展開前に十分な事前調査が必要である。詳細については、以下のマイクロソフトの解説ページが参考になる。

• Internet Explorer 6 : ActiveX 更新プログラム（マイクロソフト）

　マイクロソフトは、この不具合を一時的に回避する（ActiveXコントロールの挙動を従来どおりにする）ための互換性パッチを2006年4月11日付けで公開した（MSKB 917425）。これは6月までの暫定的な措置で、6月度に公開が予定されているIEの累積修正を適用すると、この回避策は無効になる（ActiveXコントロールの挙動が変更される）。ただしこのMSKB 917425の互換性パッチは、WSUS／SUS／Microsoft Update／Windows Updateにリストアップされず、ダウンロード・センターから入手して手動で適用する必要がある。またWindows 2000 SP4／Windows XP SP1／Windows Server 2003 SP未適用は、互換性の問題を起こすMSKB 912945の修正プログラムの対象ではないため、これらに対してMSKB 917425の互換性パッチは提供されない。Windows 2000 SP4／Windows XP SP1／Windows Server 2003 SP未適用環境にMS06-013を適用しても、従来のActiveXの動作のままである。

　これらの修正プログラムに関する詳報は、2006年4月18日版のHotFix ALERTでお伝えする予定である。

■HotFix Report BBS関連スレッド

• MS06-013［緊急］：Internet Explorer 用の累積的なセキュリティ更新プログラム

• MS06-014［緊急］：Microsoft Data Access Components (MDAC) の機能の脆弱性により、コードが実行される可能性がある

• MS06-015［緊急］：Windows エクスプローラの脆弱性により、リモートでコードが実行される

• MS06-016［重要］：Outlook Express 用の累積的なセキュリティ更新プログラム

• MS06-017［警告］：Microsoft FrontPage Server Extensions の脆弱性により、クロスサイト スクリプティングが起こる

　Hai Nam Luke氏は、Internet Explorer（IE）にURLを詐称できる脆弱性が存在することを2006年4月3日に報告した。

• Another Internet Explorer Address Bar Spoofing Vulnerability［英語］（SecurityFocus）

　同氏の報告によれば、.swfファイル（Flashデータ・ファイル）をロードする前後で異なるURLを開くよう記述したスクリプトで、アドレス・バーに表示されているURLを実際に開いているURLとは違うものに詐称することが可能とのことだ。実際、セキュリティ・ベンダのSecuniaが公開した実証コードをDA Labで実行したところ、脆弱性が確認できた。Secuniaが提供している実証コードは、アドレス・バーがhttp://www.google.com/を示し、実際にはSecunia内のページが表示されるというものである（しばらく待つとアドレス・バーのURLもSecunia内のページを示す）。

• Internet Explorer Address Bar Spoofing Vulnerability Test［英語］（Secunia）

　2006年4月11日に提供開始されたMS06-013の修正プログラムの修正内容にも、アドレス・バーの偽装の脆弱性（CVE-2006-1192）が挙がっているが、MS06-013に含まれる脆弱性は非公開で報告され、攻撃例の報告もないことから、この脆弱性とは別と考えられる。

　この脆弱性は、フィッシング詐欺への悪用が懸念される。銀行やクレジット・カード、インターネット・ショッピングなどの決済機能を持つサイトのURLを表示していて、第三者の詐欺サイトへと知らない間に誘導されてしまう可能性がある。個人情報を入力する場合は、アドレス・バーのURLを別のブラウザのウィンドウにコピー＆ペーストしてから入力を行うといった対策が有効である。

■HotFix Report BBS関連スレッド

• IEにURL詐称を可能にする脆弱性

　住商情報システムは、セキュリティ・ベンダのeEye Digital Securityが開発したWinny検出用ツール2種の日本語版を2006年4月11日に公開した。

• eEyeソフトウェアダウンロード

　公開されたのは「eEye Winny Scanner 日本語版」（以下Scanner）と「eEye Winny Monitor 日本語版」（以下Monitor）で、eEye Digital Securityの脆弱性スキャナ「Retina」の技術を利用したツールである。

　Scannerは、スキャン対象のIPアドレスを持つノードで、Winnyが動作しているかを調査するツールだ。一方のMonitorは、スイッチング・ハブのミラー・ポート（そのスイッチング・ハブを通過する全パケットが複製される特殊ポート）でWinnyのパケットを検出し、Winnyが稼働しているコンピュータを特定、Winnyトラフィックの強制リセットを行えるツールである。いずれも、管理対象のノードへのインストールは不要で負荷も比較的低いが、Winnyが動作中でないと検出できない。

　社内ネットワーク内にWinnyノードが存在するかをチェックしたり、Winny接続を遮断したりする対策は有効である。ただし、現在事故が多発している自宅コンピュータ経由の情報漏えい対策には使えない。

■HotFix Report BBS関連スレッド

• eEyeがWinny対応ソフトウェアのダウンロード・サービスを開始

［マイクロソフト］

• HTTPS プロトコルを利用した際に Internet Explorer のオートコンプリートが有効になりません（MSKB 917459）

• MS5-054 Internet Explorer 用の累積的なセキュリティ更新プログラムを適用すると _serach をターゲットにしたページの表示ができない（MSKB 917460）

• URL が長い Excel、または Word ドキュメントの閲覧に失敗する（MSKB 417456）

• 更新された Storport 記憶装置ドライバは、 Windows Server 2003 を入手できます［機械翻訳］（MSKB 912944 ）

• Windows Server 2003 ベースの環境での Internet Protocol security フィルタ作成と保守を簡略化する方法（MSKB 914841）

• SSL 接続時に HTTP 403.7のエラーページが表示される（MSKB 917372）

• BUG: 複数のバックアップが含まれるバックアップデバイスから復元を行う際に オプションに誤った情報が表示される（MSKB 917429）

• SIS を使用すると、発生することがある問題は、 Windows Storage Server 2003 R2 にシステム フィルタを提出します［機械翻訳］（MSKB 913109）

［そのほかのベンダ］

• HP Color Laser Jetプリンタでインストールされるツールに情報漏えいの脆弱性（HotFix BBS）

• Cisco製品の脆弱性修正（HotFix BBS）