Microsoftのセキュリティレスポンスチームは、Microsoft SharePoint Server 2007に深刻なクロスサイトスクリプティング（XSS）の脆弱性が存在することを認めた。
この脆弱性はブラウザから悪用可能なもので、悪意のあるハッカーが脆弱性のあるアプリケーションの中で任意のJavaScriptを実行することを可能にする。すでに概念実証コードが公になっており、Microsoftは4月第5週が終わるまでに正式なセキュリティアドバイザリを公開し、パッチ適用前の問題回避策と緩和策を提供する予定だ（編集部注：本稿執筆後、同社からはセキュリティアドバイザリが公開されている）。
以下に、Full Disclosureメーリングリストに投稿された、このセキュリティホールに関する情報の概要を示す。
この脆弱性の原因は、「/_layouts/help.aspx」のスクリプトが、変数「cid0」に入っているユーザーからの入力の適切な処理に失敗していることにある。この脆弱性の悪用に成功した場合、アプリケーションの悪用、クッキーを用いた認証情報の盗難、秘密情報の漏洩や改ざんが行われる可能性がある。
攻撃者は、ブラウザを利用してこの脆弱性を悪用することができる。
MicrosoftはTwitter上で、同社がこの問題について承知していると述べており、影響のある顧客に対してガイダンスを発表すると約束している（編集部注：本稿執筆後にMicrosoftが発表したセキュリティアドバイザリはこちら）。
Microsoft SharePointにXSSのセキュリティ問題があることが明らかになったのは、これが初めてではない。同社は2007年にも、SharePointサイト内で特権昇格につながる任意のスクリプト実行を可能にしてしまうセキュリティホールを修正すべく、セキュリティパッチを公開している。このときは「重要」にレーティングされた。
この記事は海外CBS Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。原文へ
