セキュリティ・ホールの概要と影響度

　グラフィックス処理コンポーネントのGDI＋におけるJPEG画像処理部分に未チェックバッファの脆弱性があり、これを攻撃されると、攻撃者のリモート・コードが現在ログオン中のユーザー権限で実行される危険がある。ユーザーが管理者権限を持っていた場合、プログラムのインストール、データの表示、変更、削除、完全な特権を持つ新規のアカウントの作成など、攻撃者によってコンピュータが完全に制御されてしまう深刻なものだ。脆弱性の最大深刻度は最もレベルの高い「緊急」である。

　GDI＋（Gdiplus.dll）は、Windows XP以降のWindows（つまりWindows XPとWindows Server 2003、および.NET Framework）で標準搭載されたグラフィックス・コンポーネントである。従って初期状態では、それ以前のWindows、例えばWindows 98やWindows Me、Windows NT 4.0、Windows 2000などはこの脆弱性の影響は受けない。

　ところがGDI＋コンポーネントは再配布可能で、GDI＋が提供するグラフィックス機能を利用するアプリケーションが、自身とともにGDI＋コンポーネントを再配布している可能性がある。以下に今回の修正プログラムの対象環境を列挙しているが、WindowsだけでなくOfficeやVisual Studio .NET、.NET Frameworkなど、対象が多岐にわたっている理由はここにある。

　Windows XP SP0／SP1、およびWindows Server 2003は無条件に修正プログラムの適用が必要である。Windows XP SP2に付属するGDI+コンポーネントでは、今回の脆弱性は排除されている。しかし前述の理由から、別のソフトウェアとともに脆弱性を含むGDI＋が追加されている可能性がある。この場合にはWindows XP SP2でも修正の適用が必要だ（影響のあるソフトウェアごとに修正プログラムが提供されている）。

　同様にして、Windows 98やMe、Windows NT 4.0、Windows 2000の利用者でも、ほかの関連ソフトウェアをインストールしている場合には、GDI＋コンポーネントがシステムにインストールされており、脆弱性の影響を受ける可能性がある。この場合も適切な修正プログラムの適用が必要である。

■GDI＋を再配布するサードパーティ製ソフトに注意

　マイクロソフト製品に起因するMS04-028の適用の必要性については、Windows Updateやセキュリティ検査ツールのMBSA 1.2（Microsoft Baseline Security Analyzer）を利用できる（ただしマイクロソフトのドキュメントを見るかぎり、完全に頼ることはできないようだ）。マイクロソフトが提供する検出と更新の具体的な方法については、以下のページにまとまっている。

• JPEG処理（GDI+）のセキュリティ更新プログラムでコンピュータを更新する方法（マイクロソフト）

　最悪ツールが機能しなかったとしても、マイクロソフト製品については情報が提供されるのでまだよい。問題は、GDI＋を自身で再配布しているサードパーティ製のソフトウェアを利用している場合である。

　「よくある質問」で説明されているとおり、MS04-028の修正プログラムを適用しても、こうしたサードパーティ製ソフトウェアが追加したGDI＋については対処できず、脆弱性が残る危険がある。これらサードパーティ製ソフトウェアは、それぞれ独自にGDI＋をインストールする可能性が高い。システム管理者は、自社で利用しているサードパーティ製ソフトウェアを調査し、各ベンダのサイトなどで情報を収集して、それらのソフトウェアから今回の脆弱性の影響を受けるかどうかを確認し、必要なら個別に対処しなければならない。利用アプリケーションを中央で完全に管理しているならよいが、ユーザーが独自の判断でアプリケーションをインストールできるような環境では、各ユーザーに調査をゆだねることになるだろう。頭の痛い話である。

対象プラットフォーム

　今回修正プログラムが提供される環境は以下のとおりである。修正プログラムの適用には、表中の「対象プラットフォーム」にあるService Packの事前適用が必要である。

セキュリティ・ホールの概要と影響度

　MS-DOSの時代に米国で広く普及していたワードプロセッサ・ソフト「Word Perfect」用のデータをWord形式に変換するコンバータに脆弱性があり、攻撃者によりリモート・コードが実行される危険がある。ただし攻撃を実行するには、ユーザーに誘導操作を行わせる必要があり、容易には攻撃できないことから最大深刻度は「重要」レベルとなっている。

　この脆弱性を含むコンバータは、Office 2003 SP1より前に提供されたすべてのバージョンのOffice製品にバンドルされている（ただし当該コンポーネントがインストールされるかどうかは、利用する機能による）。対象となるユーザーは、修正プログラムの適用が必要だ。なお今回のMS04-027の修正プログラムは、やはりWordPerfectコンバータ用の修正として公開されたMS03-036（WordPerfect コンバータのバッファオーバーランにより、コードが実行される）を置き換える。

対象プラットフォーム

　今回修正プログラムが提供される環境は以下のとおりである。修正プログラムの適用には、表中の「対象プラットフォーム」にあるService Packの事前適用が必要である。

関連リンク

• MS04-027の適用結果と不具合最新情報（HotFix Report BBS）
• MS04-028の適用結果と不具合最新情報（HotFix Report BBS）