セキュリティ・ホールの概要と影響度

　 Microsoft XMLコア・サービス（MSXML）にメモリ破損の脆弱性が存在し、細工されたスクリプト・リクエストを受け取ると、任意のコードが実行される危険性がある。細工済みのスクリプトが仕込まれたWebページをユーザーが開くだけで攻撃が実行されてしまうおそれがある。月例リリースの直後にDoSの実証コードがインターネットで公開されており、より危険性の高いコード実行の実証コードが現れることが懸念される。

対象プラットフォーム

　今回修正プログラムが提供される環境は以下のとおりである。

適用時の注意点

■異なるバージョンのMSXMLそれぞれに修正プログラムの適用が必要
　 MSXMLは、1つのコンピュータに異なる複数のバージョンがインストールされている可能性がある。このような場合、それぞれのバージョンに対応した修正プログラムを適用する必要がある。

■Office互換機能パックにはOffice 2007向けの修正プログラムの適用が必要
　 TechNetセキュリティ情報では、修正プログラムの適用対象としてOffice互換機能パック（TIPS「互換機能パックを使ってOffice 2007のファイルを読み書きする」参照）が挙げられていない。しかしOffice互換機能パックにはOffice 2007と同じくMSXML 5.0が含まれるので、Office 2007向けの修正プログラムを適用した方がよい。

セキュリティ・ホールの概要と影響度

　 OLE（Object linking and embedding）オートメーションの処理過程にメモリ破損の脆弱性が存在し、細工されたスクリプト・リクエストを受け取ると、任意のコードが実行される危険性がある。OLEオートメーションとはWindowsの標準プロトコルの1つで、アプリケーション同士でデータを共有したり、別のアプリケーションを制御したりするためのものだ。細工済みのスクリプトが仕込まれたWebページをユーザーが開くと、それだけで攻撃が実行されてしまうおそれがある。

対象プラットフォーム

　今回修正プログラムが提供される環境は以下のとおりである。

適用時の注意点

■古いoleaut32.dllを含むVisual Basic 6.0アプリケーションをインストールすると脆弱性が復活する可能性
　 oleaut32.dllは、OSに標準で含まれているほか、Visual Basic 6.0に添付されている再配布版がアプリケーションとともにインストールされることもある。そのため、MS07-043の修正プログラムが適用済みでも、古いoleaut32.dllを含むVisual Basic 6.0アプリケーションをインストールすると、oleaut32.dllが上書きされて脆弱性が復活する可能性がある。古いVisual Basic 6.0アプリケーションをインストールした際は、oleaut32.dllのバージョンを確認した方がよい。

■Visual Basic 6.0向けのMS07-043の修正プログラムは手動適用
　 Visual Basic 6.0向けのMS07-043の修正プログラムはWindows Update／Microsoft Update／自動更新には対応していない。ダウンロード・センターからインストール・パッケージをダウンロードし、手動で適用する必要がある。

■Visual Basic 6.0 SP6向け修正プログラムのoleaut32.dllは古い？
　 Visual Basic 6.0 SP6向けのMS07-043の修正プログラムで置き換えるoleaut32.dllは、各OS向けのMS07-043の修正プログラムで置き換えるoleaut32.dllよりもバージョン番号が低く、日付も古い。またこの修正プログラムを適用すると、再配布可能版のoleaut32.dllがOSごとに用意されるように仕様が変更されるが、Windows Server 2003 SP2向けのoleaut32.dllは含まれていない。ソフトウェア・ベンダは、再配布版oleaut32.dllを利用せずに、OSに付属のoleaut32.dllを利用するようにソフトウェアの設計を変更した方がよいかもしれない。

• [MS07-043] Visual Basic 6.0 再頒布可能パッケージ用のセキュリティ更新プログラムについて（サポート技術情報 924053）

セキュリティ・ホールの概要と影響度

　Excelがワークスペースに関連するインデックス値を検証する処理にメモリ破損を引き起こす脆弱性が存在し、細工されたExcelのワークスペース・ファイル（.XLWファイル）を開くと任意のコードが実行される危険性がある。攻撃は、細工したExcelファイルをWebページ上に置くか、電子メールの添付ファイルとして送信し、それをユーザーに開かせるように誘導することで実行されることが考えられる。なおExcel 2007およびOffice互換機能パックはこの脆弱性の影響を受けない。

対象プラットフォーム

　今回修正プログラムが提供される環境は以下のとおりである。

適用時の注意点

■Excel 2000向けの修正プログラムはOffice Updateで提供
　 MS07-044のExcel 2000向けの修正プログラムは、Excel 2002などと異なり、Microsoft Updateや自動更新、WSUSでは適用できない。Office Updateを利用するか、ダウンロード・センターから手動で修正プログラムをダウンロードして適用する必要がある。

セキュリティ・ホールの概要と影響度

　ActiveXコントロールがInternet Explorer（IE）を介してアクセスされる際にメモリ破損が生じるなど、Internet Explorer（IE）に対する3種類の脆弱性が公表された。いずれもリモートで任意のコードが実行される危険性をもつ脆弱性なので注意が必要だ。すでに実証コードが公開されている脆弱性もある。対象となる脆弱性は以下のとおり。

• ActiveXコントロールのメモリ破損の脆弱性（深刻度：緊急　CVE：CVE-2007-3041）
  　 ActiveXコントロールのPDWIZARD.OCX（Package and Deployment Wizard）がIEを介してアクセスされることに起因するメモリ破損の脆弱性。

• ActiveXオブジェクトの脆弱性（深刻度：緊急　CVE：CVE-2007-2216）
  　ActiveXコントロールのTLBINF32.DLLが、IObjectSafetyインターフェイス（スクリプトの実行や初期化を行ってもそのコントロールが安全であること示す機能）を正しく実装していないことに起因する脆弱性。

• CSSメモリ破損の脆弱性（深刻度：緊急　CVE：CVE-2007-0943）
  　 CSS（カスケード・スタイル・シート）の特定の文字列を解析する過程で発生するメモリ破損の脆弱性。

対象プラットフォーム

　今回修正プログラムが提供される環境は以下のとおりである。

適用時の注意点

■MS07-045の修正プログラムには複数の不具合修正が含まれる
　 MS07-045の修正プログラムには、以下の不具合修正が含まれている。MS07-045の修正プログラムを適用することで、これらの不具合が解消する可能性がある。