このページは、HotFix Reportで配信されたセキュリティ情報のバックナンバーです。「更新日」に明記された時点での情報ですのでご注意ください。ご購読の申し込みは「HotFix Report購読の申し込み」 をご参照ください。

トップページ サービスの詳細 セキュリティ情報 購読の申し込み
 
 
Windowsプラットフォーム向けHotFix情報サービス
HotFix Alert:
2006
/04/14版
 
【登録日】2006/04/14
【更新日】2006/04/14
HFR BBS会議室
 
深刻度
  1(緊急)
2(重要)
  3(警告)
  4(注意)
攻撃コードの有無
なし
対策
早期適用
再起動の必要性
不要(必要な場合あり)
アンインストール
可能
対象環境
サーバ
クライアント
セキュリティ情報
MS06-016(日本)
MS06-016(US)
サポート技術情報
含まれる過去の修正
脆弱性識別番号
MS06-016/911567
Outlook ExpressにおけるWindowsアドレス帳機能の未チェック・バッファの脆弱性により、リモートで任意のコードが実行される危険性
(Outlook Express 用の累積的なセキュリティ更新プログラム)

緊急対応度:適用作業の早期開始

危険性 脆弱性による危険性を示す。「緊急適用」の場合、すでに攻撃コードが公開されているなど、脆弱性を悪用した攻撃が開始される可能性がある。「SP待ち」の場合、現時点では危険性がそれほど高くないため、サービスパックに反映されるまで待つことが可能であることを示す。
                 
SP待ち
 
早期適用
 
緊急適用

 Outlook ExpressのWindowsアドレス帳(.wab)機能にバッファ・オーバーフローの脆弱性が存在し、任意のコードが実行される危険性がある。攻撃は、細工された.wabファイルをユーザーに開くよう誘導することで実行される。ユーザーが、細工された.wabファイルをローカルに保存し、Outlook Expressを使用して表示した場合に攻撃が実行される。

 Outlook Expressは、Windows OSの標準メール・ソフトウェアであり、すべての環境にインストールされている。普段Outlook Expressを利用していない場合でも、脆弱性の影響を受けるので注意が必要だ。

 マイクロソフトによれば、MS06-016の脆弱性は非公開で報告されたとしており、実証コードや攻撃例は確認されていないという。しかし修正プログラムが提供されたことから、脆弱性を発見したATmaCA氏などから実証コードが公開される可能性がある。なるべく早期に修正プログラムを適用した方がよい。

 

概要

 Windowsアドレス帳は、連絡先に関する情報を保存し、Outlook Expressなどのプログラムから取り出すことを可能にする機能だ。ディレクトリ・サービスにアクセスし、インターネットやActive Directoryで個人や企業を検索することもできる。

 そのWindowsアドレス帳のデータ・ファイルである.wabファイルにおいて、特定のUnicode文字列の長さに関する変数が変更されると、バッファ・オーバーフローが起きる。細工した.wabファイルを開くと、Windowsアドレス帳が起動して、ファイルに仕込まれたコードが実行されてしまう危険性がある。

 

対象プラットフォーム

影響を受けるソフトウェア 対象プラットフォーム
Outlook Express 5.5 SP2 Windows 2000 SP4+IE 5.01 SP4
Outlook Express 6 SP1 Windows 2000 SP4、Windows XP SP1/SP1a
Outlook Express 6 Windows XP SP2
Outlook Express 6 Windows Server 2003 SP未適用/SP1/R2
 
‥‥‥ DA Lab:HotFixテスティング・チームからのコメント ‥‥‥

■適用テストの結果
 DA Labでは、以下のプラットフォームで修正プログラムの適用テストを行った。

プラットフォーム
適用テスト結果
Windows 2000 Professional SP4+IE 5.01 SP4+Outlook Express 5.5 SP2
Windows 2000 Professional SP4+Outlook Express 6 SP1
Windows 2000 Server SP4+IE 5.01 SP4+Outlook Express 5.5 SP2
Windows 2000 Server SP4+Outlook Express 6 SP1
Windows 2000 Advanced Server SP4+IE 5.01 SP4+Outlook Express 5.5 SP2
Windows XP Professional SP1+Outlook Express 6 SP1
Windows XP Professional SP1a+Outlook Express 6 SP1
Windows XP Professional SP2+Outlook Express 6
Windows Server 2003, Standard Edition SP未適用+Outlook Express 6
Windows Server 2003, Enterprise Edition SP未適用+Outlook Express 6
Windows Server 2003, Standard Edition SP1+Outlook Express 6
Windows Server 2003, Enterprise Edition SP1+Outlook Express 6
Windows Server 2003 R2, Standard Edition+Outlook Express 6
Windows Server 2003 R2, Enterprise Edition+Outlook Express 6

■Outlook Expressのバージョンに関する注意点
 MS06-016では、OSおよびOutlook Expressのバージョンによって、以下のように異なる修正プログラムが提供されている。

Outlook Expressのバージョン 適用すべきMS06-016の修正プログラム
Windows 2000 SP4
Outlook Express 5.5 SP2 OE5.5sp2-KB911567-Windows2000sp4-x86-JPN.exe
Outlook Express 6 SP1 OE6.0sp1-KB911567-Windows-2000-XP-x86-JPN.exe
Windows XP SP1/SP1a
Outlook Express 6 SP1 OE6.0sp1-KB911567-Windows-2000-XP-x86-JPN.exe
Windows XP SP2
Outlook Express 6 WindowsXP-KB911567-x86-JPN.exe
Windows Server 2003 SP未適用
Outlook Express 6 WindowsServer2003-KB911567-x86-JPN.exe
Windows Server 2003 SP1/R2
Outlook Express 6 WindowsServer2003-KB911567-x86-JPN.exe

 Outlook ExpressはInternet Explorer(IE)と一緒にインストールされるが、そのバージョンはIEと連動しないことがあるので注意が必要だ。特にWindows 2000 SP4では、IEのバージョンが5.01 SP4/5.5 SP0/5.5 SP1/5.5 SP2のいずれでも、Outlook Expressのバージョンは5.5 SP2となるため、分かりにくくなっている。またMS06-016のOutlook Express 5.5 SP2用修正プログラムの対象は、Windows 2000 SP4+IE 5.01 SP4だけに限定されており、IE 5.5系がインストールされていると適用できない。この場合はIE 6 SP1に更新してから、Outlook Express 6 SP1用修正プログラムを適用する必要がある。

■Windows 98/98SE/Meにも脆弱性あり
 TechNetセキュリティ情報によれば、Windows 98/98SE/MeにもMS06-016の脆弱性が存在するという。ただしマイクロソフトはこれを「緊急ではない」と判断しており、修正プログラムの提供は行われない。Windows 98/98SE/Meを利用している場合は、引き続き攻撃の可能性があるので注意が必要だ。

■MBSA 2.0の結果
 MS06-016の修正プログラムが正しく適用されているかどうかは、MBSA 2.0で確認可能だ。未適用の場合は、「Windowsのセキュリティの更新」の「結果の詳細情報」に、以下のOutlook Expressのバージョンによって以下のいずれかが表示される。

  • Outlook Express 5.5 Service Pack 2 の累積的な修正プログラム (KB911567)
  • Outlook Express 6 Service Pack 1 の累積的な修正プログラム (KB911567)
  • Windows XP 用 Outlook Express の累積的な修正プログラム (KB911567)
  • Windows Server 2003 用 Outlook Express の累積的な修正プログラム (KB911567)
 
‥‥‥ 修正プログラムのダウンロード先 ‥‥‥
プラットフォーム ダウンロード・センター WU/MU/WSUSの表示
Outlook Express 5.5 SP2 Outlook Express 5.5 Service Pack 2 の累積的な修正プログラム (KB911567)
Outlook Express 6 SP1 Outlook Express 6 Service Pack 1 の累積的な修正プログラム (KB911567)
Outlook Express 6
(Windows XP SP2)
Windows XP 用 Outlook Express の累積的なセキュリティ更新プログラム (KB911567)
Outlook Express 6
(Windows Server 2003 SP未適用/SP1/R2)
Windows Server 2003 用 Outlook Express の累積的なセキュリティ更新プログラム (KB911567)
 
‥‥‥ 適用されるファイル情報 ‥‥‥
 以下のファイルにパッチが適用される。障害の発生が懸念される場合は、これらのファイルのバックアップを取っておくとよい。
 
Outlook Express 5.5 SP2(Windows 2000 SP4+IE 5.01 SP4):
ファイル名 日付 バージョン サイズ
OE5.5sp2-KB911567-Windows2000sp4-x86-JPN.exe 2006/03/18 6.2.29.0
1,501,456
 
ファイル名 日付 バージョン サイズ 機能
展開フォルダ
%SystemRoot%\system32\
inetcomm.dll 2006/03/17 5.50.4963.1700
565,008
Microsoft インターネット メッセージ API
  %ProgramFiles%\Outlook Express\
msoe.dll 2006/03/17 5.50.4963.1700
1,147,152
Outlook Express
wab.exe 2006/03/17 5.50.4963.1700
20,752
アドレス帳
wabimp.dll 2006/03/17 5.50.4963.1700
85,264
Microsoft WAB Importer/Exporter
  %ProgramFiles%\Common Files\System\
wab32.dll 2006/03/17 5.50.4963.1700
452,368
Microsoft アドレス帳 DLL
 
Outlook Express 6 SP1(Windows 2000 SP4、Windows XP SP1/SP1a):
ファイル名 日付 バージョン サイズ
OE6.0sp1-KB911567-Windows-2000-XP-x86-JPN.exe 2006/03/17 6.2.29.0
2,368,776
 
ファイル名 日付 バージョン サイズ 機能
展開フォルダ
%SystemRoot%\system32\
inetcomm.dll 2006/02/27 6.0.2800.1807
596,480
Microsoft Internet Messaging API
inetres.dll 2006/02/27 6.0.2800.1807
47,616
Microsoft Internet Messaging API Resources
msident.dll 2006/02/27 6.0.2800.1807
44,032
Microsoft Identity Manager
msoeacct.dll 2006/02/27 6.0.2800.1807
229,376
Microsoft Internet Account Manager
msoert2.dll 2006/02/27 6.0.2800.1807
91,136
Microsoft Outlook Express RT Lib
展開フォルダ
%ProgramFiles%\Outlook Express\
msimn.exe 2006/02/27 6.0.2800.1807
56,832
Outlook Express
msoe.dll 2006/02/27 6.0.2800.1807
1,176,064
Outlook Express
msoeres.dll 2006/02/27 6.0.2800.1807
2,479,616
Outlook Express
oeimport.dll 2006/02/27 6.0.2800.1807
93,184
Outlook Express Mail Import & Export
oemig50.exe 2006/02/27 6.0.2800.1807
55,808
Outlook Express Migration 5.0
oemiglib.dll 2006/02/27 6.0.2800.1807
31,744
Microsoft Outlook Express Migration Library
wab.exe 2006/02/27 6.0.2800.1807
42,496
アドレス帳
wabfind.dll 2006/02/27 6.0.2800.1807
30,208
Find People
wabimp.dll 2006/02/27 6.0.2800.1807
77,824
Microsoft WAB Importer/Exporter
wabmig.exe 2006/02/27 6.0.2800.1807
27,648
Microsoft Address Book Import Tool
  %ProgramFiles%\Common Files\System\
directdb.dll 2006/02/27 6.0.2800.1807
75,776
Microsoft Direct Database API
wab32.dll 2006/03/16 6.0.2800.1816
465,408
Microsoft Address Book DLL
 
Outlook Express 6(Windows XP SP2):
ファイル名 日付 バージョン サイズ
WindowsXP-KB911567-x86-JPN.exe 2006/03/17 1.0.0.0
1,584,880
 
ファイル名 日付 バージョン サイズ 機能
展開フォルダ
(SP2GDR/SP2QFE)
%SystemRoot%\system32\
inetcomm.dll 2006/03/17 6.0.2900.2869
679,424
Microsoft Internet Messaging API
  %ProgramFiles%\Outlook Express\
msoe.dll 2006/03/17 6.0.2900.2869
1,311,744
Outlook Express
wabimp.dll 2006/03/17 6.0.2900.2869
85,504
Microsoft WAB Importer/Exporter
  %ProgramFiles%\Common Files\System\
wab32.dll 2006/03/17 6.0.2900.2869
510,464
Microsoft Address Book DLL
 
Outlook Express 6(Windows Server 2003 SP未適用/SP1/R2):
ファイル名 日付 バージョン サイズ
WindowsServer2003-KB911567-x86-JPN.exe 2006/03/18 1.0.0.0
2,201,840
 
ファイル名 日付 バージョン サイズ 機能
展開フォルダ
(RTMGDR/RTMQFE)
%SystemRoot%\system32\
inetcomm.dll 2006/03/18 6.0.3790.504
608,256
Microsoft Internet Messaging API
  %ProgramFiles%\Outlook Express\
msoe.dll 2006/03/18 6.0.3790.504
1,202,688
Outlook Express
wabimp.dll 2006/03/18 6.0.3790.504
81,920
Microsoft WAB Importer/Exporter
  %ProgramFiles%\Common Files\System\
wab32.dll 2006/03/18 6.0.3790.504
479,744
Microsoft Address Book DLL
展開フォルダ
(SP1GDR)
%SystemRoot%\system32\
inetcomm.dll 2006/03/18 6.0.3790.2663
681,472
Microsoft Internet Messaging API
  %ProgramFiles%\Outlook Express\
msoe.dll 2006/03/18 6.0.3790.2663
1,315,328
Outlook Express
wabimp.dll 2006/03/18 6.0.3790.2663
85,504
Microsoft WAB Importer/Exporter
  %ProgramFiles%\Common Files\System\
wab32.dll 2006/03/18 6.0.3790.2663
510,976
Microsoft Address Book DLL
 
‥‥‥ 確認方法 ‥‥‥

 修正プログラムが正しく適用できたかどうかは、以下のレジストリ・キーにある値を調べることで確認できる。

・Outlook Express 5.5 SP2(Windows 2000 SP4+IE 5.01 SP4):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Outlook Express 5.50\SP2\KB911567-OE55SP2-20060317.162653\Filelist以下のファイル一覧を確認する

・Outlook Express 6 SP1(Windows 2000 SP4、Windows XP SP1/SP1a):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Outlook Express 6\SP1\KB911567-OE6SP1-20060316.165634\Filelist以下のファイル一覧を確認する

・Outlook Express 6(Windows XP SP2):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows XP\SP3\KB911567\Filelist以下のファイル一覧を確認する

・Outlook Express 6(Windows Server 2003 SP未適用/SP1/R2):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows Server 2003\SP2\KB911567\Filelist以下のファイル一覧を確認する

 

予想適用時間

修正プログラム名 50台 100台 250台 500台
OE5.5sp2-KB911567-Windows2000sp4-x86-JPN.exe
(Windows 2000 SP4+IE 5.01 SP4+Outlook Express 5.5 SP2)
13分 21分 47分 1時間29分
OE6.0sp1-KB911567-Windows-2000-XP-x86-JPN.exe
(Windows 2000 SP4、Windows XP SP1/SP1a+Outlook Express 6 SP1)
13分 21分 47分 1時間30分
WindowsXP-KB911567-x86-JPN.exe
(Windows XP SP2+Outlook Express 6)
13分 21分 47分 1時間29分
WindowsServer2003-KB911567-x86-JPN.exe
(Windows Server 2003 SP未適用/SP1/R2+Outlook Express 6)
13分 21分 47分 1時間30分
1コンソールのUpdateEXPERT 6.1で、今回の修正プログラムを適用するのにかかる時間を概算したもの。ネットワーク環境や適用するコンピュータの性能などによって適用時間は異なる。あくまでも目安として利用してほしい。
 

UpdateEXPERT上の表示

・Outlook Express 5.5 SP2(Windows 2000 SP4+IE 5.01 SP4):
[展開ビュー]−[IE]タブに「名前:OE5.5sp2-KB911567-Windows2000sp4-x86-JPN.exe」で登録

・Outlook Express 6 SP1(Windows 2000 SP4、Windows XP SP1/SP1a):
[展開ビュー]−[IE]タブに「名前:OE6.0sp1-KB911567-Windows-2000-XP-x86-JPN.exe」で登録

・Outlook Express 6(Windows XP SP2):
[展開ビュー]−[IE]タブに「名前:WindowsXP-KB911567-x86-JPN.exe」で登録

・Outlook Express 6(Windows Server 2003 SP未適用/SP1/R2):
[展開ビュー]−[IE]タブに「名前:WindowsServer2003-KB911567-x86-JPN.exe」で登録

 

HotFix Reportは、UpdateEXPERTユーザー向けの情報を含んでいます。UpdateEXPERTは、管理者の負担を大幅に軽減するHotFix管理ツールです。UpdateEXPERTに関する詳細ならびにお問い合わせは、アップデートテクノロジー株式会社のホームページをご参照ください。
 
Copyright (C) Digital Advantage Corp.
このメールは、HotFix Reportにご登録いただいておりますユーザー様にお送りしています。
無断で複製・再配信などを行うことはできません。 このメールに関する問い合わせ先:info@hotfix.jp
HotFix Reportでは、細心の注意を払って情報提供を行っておりますが、本サービスにおける情報の正確性、最新性、適切性などについて、明示的又は黙示的な保証を行いません。また本サービスの停止や欠陥、それらに起因して発生する損失や損害について、一切責任を負いません。