2006年5月10日、マイクロソフトは5月度の月例セキュリティ情報を公開し、修正プログラムの提供を開始した。公開されたセキュリティ情報はMS06-018〜020の3件で、最大深刻度は緊急（1）レベルが2件、警告（3）レベルが1件となっている。

• MS06-018［警告］：Microsoft Distributed Transaction Coordinator (MSDTC) の脆弱性によりサービス拒否が起こる

• MS06-019［緊急］：Microsoft Exchange の脆弱性により、リモートでコードが実行される

• MS06-020［緊急］：Adobe の Macromedia Flash Player の脆弱性により、リモートでコードが実行される

　これらの修正プログラムに関する詳報は、2006年5月16日版のHotFix ALERTでお伝えする予定である。

■HotFix Report BBS関連スレッド

• MS06-018［警告］：Microsoft Distributed Transaction Coordinator (MSDTC) の脆弱性によりサービス拒否が起こる

• MS06-019［緊急］：Microsoft Exchange の脆弱性により、リモートでコードが実行される

• MS06-020［緊急］：Adobe の Macromedia Flash Player の脆弱性により、リモートでコードが実行される

　Matthew Murphy氏は、Internet Explorer（IE）において、セキュリティ・ダイアログ表示がバイパスされる脆弱性が存在することを2006年4月26日に報告した。

• [Full-disclosure] Internet Explorer User Interface Races, Redeux［英語］（Neohapsis）

　報告によれば、IEでActiveXコントロールなどのインストール／実行を許可するためのセキュリティ・ダイアログを表示する過程で競合状態が発生すると、セキュリティ・ダイアログ上でユーザーが意図せぬボタンをクリックしてしまう脆弱性があるという。この脆弱性が悪用されると、細工されたWebページ上でクリックしたりキーボード操作を行うだけで、情報が窃取されたり、ログオンしているユーザーの権限で攻撃コードがインストール／実行されたりするなどの危険性がある。

　現時点では、この脆弱性に対するマイクロソフトからの正式な報告や修正プログラムの提供は行われていない。実証コードがすでに作成されていることから、危険度が高まっている。不審なWebページを開かない、Administrators／Power Users権限でログオンしない、といった運用上の注意が必要である。

■HotFix Report BBS関連スレッド

• IEのモーダルダイアログ処理部分にリモートコード実行の脆弱性

　codedreamer氏は、Internet Explorer（IE）のXMLHttpRequestオブジェクトの処理に情報漏えいの脆弱性が存在することを2006年4月27日に報告した。

• Internet Explorer "mhtml:" Redirection Disclosure of Sensitive Information［英語］（Secunia）

　この脆弱性は、「mhtml:」URIハンドラのリダイレクトのエラーが原因だという。この脆弱性が悪用されると、本来アクセスしているWebサイトとは異なるサイトのドキュメントにアクセスしてしまうため、個人情報が窃取されるなどの危険性がある。

　この脆弱性を報告したSecuniaは実証コードとテスト用Webページを公開している。下記サイトの「Test Now - Left Click On This Link」をクリックすると、脆弱性があるかどうかをダイアログで表示する。DA Labで検証したところ、Windows XP SP2で脆弱性の存在を確認した。Windows 2000 SP4＋IE 6 SP1、Windows XP SP1a＋IE 6 SP1では脆弱性を確認できなかった。

• Internet Explorer Arbitrary Content Disclosure Vulnerability Test［英語］（Secunia）

　現時点では、この脆弱性に対するマイクロソフトからの正式な報告や修正プログラムの提供は行われていない。実証コードがすでに公開されていることから、悪用の危険度が高まっている。不審なWebページを開かないといった運用上の注意が必要である。

■HotFix Report BBS関連スレッド

• IEのMHTML URLハンドラに情報漏えいの脆弱性

　Inge Henriksen氏は、Outlook 2003の「mailto:」URIハンドラの処理に脆弱性が存在することを2006年4月20日に報告した。

• Office 2003 file attachment exploit［英語］

　報告によれば、Outlook 2003が細工された「mailto:」URIハンドラを処理すると、指定されたローカル・パスにあるファイルを自動的に添付してしまうというものだ。その際に、Outlook 2003はユーザーにファイルを添付する許可を求めるメッセージなどは表示しない。

　現時点では、この脆弱性に対するマイクロソフトからの正式な報告や修正プログラムの提供は行われていない。実証コードがすでに公開されており、またその攻撃手法が容易であるため、悪用の危険性が高い。電子メールは新規に作成してメール・アドレスを手動で入力する、不要なファイルが添付されていないか送信前に確認する、といった運用上の注意が必要である。

　Mozilla Foundationは、Firefox 1.5〜1.5.0.2で発見された脆弱性を解消したFirefox 1.5.0.3を2006年5月2日にリリースした。

• Firefoxダウンロード・ページ（Mozilla Japan）

　報告された脆弱性は、designModeが有効時に削除されたコントローラ・コンテキストの利用を試みると、メモリの破損が発生してブラウザが異常終了するというものだ。Mozilla Foundationのセキュリティ・アドバイザリ（MFSA）の危険度表記では「高」となっており、状況によっては任意のコードが実行される危険性もあるという。

• designMode有効時の削除済みオブジェクトの参照（MFSA 2006-30）

　また、公開されたFirefox 1.5.0.3にもハンドラ処理の問題から任意のコードを実行してしまう脆弱性が懸念されている。Mozilla Foundationでは、次期バージョンであるFirefox 1.5.0.4を2006年5月22日の週に公開することを示唆している。

• New Firefox Vulnerability(?)［英語］（SANS Institute）

　現時点では、この新たな脆弱性に関するMozilla Foundationからの正式な報告や修正プログラムの提供は行われていない。だが、すでに実証コードが公開されていることから、より詳細な技術情報が公開される可能性がある。Firefox 1.5以上を利用している場合には、自動更新機能を有効にして最新バージョンの公開を素早くチェックできるようにした方がよい。修正版が公開されるまでは、JavaScriptを無効に設定することで、この脆弱性を回避できる。

■HotFix Report BBS関連スレッド

• Firefox 1.5.0.3/1.8.0.3を緊急にリリース予定

［マイクロソフト］

• Access で [閉じるときに最適化する] オプションを設定している MDB ファイルを閉じるときにエラーが発生する（MSKB 842580）

• Outlook Web Access での作成フレームを有効にするとき、クリックする必要があると、任意の編集作業を実行しようとすると、エラー メッセージを表示します［機械翻訳］（MSKB 911829）

• Windows XP Service Pack 2 でのエラー メッセージ:「 0x7E を停止します［機械翻訳］（MSKB 900485）