PR

 マイクロソフトは2008年11月12日、WindowsやMicrosoft Officeなどに関するセキュリティ情報を2件公開した。そのうち1件は、最大深刻度(危険度)が最悪の「緊急」。細工が施されたWebページやHTMLメールなどを開くだけで、悪質なプログラム(ウイルスなど)を実行される危険性がある。対策は、同日公開されたセキュリティ更新プログラム(修正パッチ)を適用すること。

 今回公開されたセキュリティ情報は以下の2件。いずれの情報にも、ウイルスなどを勝手に実行される恐れのある、危険な脆弱(ぜいじゃく)性が含まれる。

(1)[MS08-069]Microsoft XMLコアサービスの脆弱性により、リモートでコードが実行される (955218)
(2)[MS08-068]SMBの脆弱性により、リモートでコードが実行される (957097)

 (1)は、最大深刻度が「緊急」のセキュリティ情報。WindowsやOffice製品に含まれるMicrosoft XMLコアサービス(MSXML)に関する脆弱性が3件含まれる。

 MSXMLとは、XMLに関連した機能を提供するコンポーネント。今回、MSXMLがデータを処理する方法に3種類の問題が見つかった。WebページやHTMLメールなどを経由して、細工が施されたデータを読み込まされると、悪質なプログラムを勝手に実行されたり、情報を盗まれたりする恐れがある。

 マイクロソフトによれば、このセキュリティ情報に含まれる脆弱性3件のうち、1件は第三者によって公開されていたものの、脆弱性を悪用した攻撃などは確認していないという。

 影響を受けるのは、現在サポート対象となっているすべてのWindows(Windows 2000/XP/Server 2003/Vista/Server 2008)に加え、Office 2003/2007およびWord Viewer 2003、Word/Excel/PowerPoint 2007ファイル形式用Microsoft Office互換機能パック、Microsoft Expression Web/Web 2、Office SharePoint Server 2007、Office Groove Server 2007。

 Office 2000/XP、Office SharePoint Portal Server 2001/2003、Excel Viewer 2003は影響を受けない。

 (2)は、すべてのWindows(Windows 2000/XP/Server 2003/Vista/Server 2008)が影響を受けるセキュリティ情報。最大深刻度は、上から2番目の「重要」。このセキュリティ情報には、SMB(Microsoft Server Message Block)に関する脆弱性が1件含まれる。

 SMBとは、ファイル共有やプリンター共有で使用されるプロトコル。このプロトコルでやり取りされる情報の処理に問題があるため、細工が施されたデータを送信されるだけで、悪質なプログラムを実行される恐れなどがある。ただし、攻撃を“成功”させるには、ユーザーを攻撃者のサーバーやWebサイトに誘導する必要がある。

 マイクロソフトによれば、この脆弱性は第三者によって公開されていたものの、セキュリティ情報の公開時点では、脆弱性を悪用した攻撃などは確認していないという。

 いずれの脆弱性についても、対策は修正パッチを適用すること。自動更新機能を有効にしていれば自動的に適用されるし、「Microsoft Update」からも適用可能。

 Office製品に関する修正パッチについては「Office のアップデート」から、Windowsに関する修正パッチについては「Windows Update」からも適用できる。それぞれのセキュリティ情報のページ(ダウンロードセンター)からもダウンロードできる。