Publisherの.pubファイルのコンテンツを処理する過程で十分なデータ検証が行われないことから、メモリ破損の脆弱性が存在する。細工された.pubファイルを開くと、任意のコードが実行される危険性がある。

　主にこの脆弱性は、細工したファイルを添付した電子メールによる攻撃に悪用されると思われる。社内文書に偽装した電子メールに細工を施したファイルを添付するといった、ソーシャル・エンジアリングの手法が悪用される危険性が高い。

　また、Webページ上に配置した、細工済みのファイルへのリンクをクリックするように誘導することで、攻撃が実行される危険性もある。Internet Explorer（IE）では、Office文書をインライン（IEのウィンドウ内部）で開くため、Officeを明示的に使っていなくても、IEによるWebページのブラジング作業中に攻撃が実行される可能性もあるので注意が必要だ。この際Office 2000では、警告ダイアログなどが表示されず、ユーザーの操作なしに起動してしまうので、特に危険性が高い（Office XP／2003では、警告ダイアログが表示される）。

　マイクロソフトによれば、MS06-054の脆弱性は非公開で報告されたとしており、現時点で攻撃例は確認されていないという。しかしPublisherを利用している場合は、攻撃を受ける危険性が高いので、至急、修正プログラムを適用した方がよい。Publisherをインストールしていなくても、後述のようにOfficeには脆弱性の影響を受けるファイルが含まれているので、なるべく早期に修正プログラムを適用した方がよいだろう。

　Publisherは、OfficeのProfessional版などに含まれる簡易なDTPアプリケーションである。Publisherを利用することで、ビジネス文書やセールス・ツールなどのレイアウトを容易に作成することが可能になる。

　Publisherが不正な形式の文字列のファイルを解析する際に、データの長さを検証せずにコピーするため、メモリ破損が起きる。細工された.pubファイルを開くと、仕込まれたコードが実行されてしまう。

■適用テストの結果
　DA Labでは、以下のプラットフォームで修正プログラムの適用テストを行った。

■MBSA 2.0の結果
　MS06-054のOffice XP／2003（Publisher 2002／2003）向け修正プログラムが正しく適用されているかどうかは、MBSA 2.0で確認可能である。未適用の場合は、「Officeのセキュリティの更新プログラム」の「結果の詳細情報」に以下のいずれかが表示される。Office 2000（Publisher 2000）は、MSBA 2.0でサポートされておらず、適用状態の確認はできない。

• Publisher 2002 のセキュリティ更新プログラム (KB894541)
• Publisher 2003 セキュリティ更新プログラム (KB894542)

■Publisherがインストールされていなくても、修正プログラムの適用を推奨
　MS06-054の修正プログラムは、Publisher 2000／2002／2003に存在する脆弱性を解消するものである。しかし別のOfficeアプリケーションでも、この修正プログラムで更新されるファイルのいくつかを使用していることから、マイクロソフトは、Publisherの有無とは無関係に、Office 2000／XP／2003に対してMS06-054の修正プログラムをインストールすることを推奨している。

　そのため、Publisherがインストールされていなくても、Office 2000／XP／2003がインストールされていれば、Office Updateや自動更新／Microsoft UpdateなどでMS06-054の修正プログラムが表示される。Publisherのインストールの有無にかかわらず、Office 2000／XP／2003がインストールされている場合は、MS06-054の修正プログラムを適用した方がよい。

　Officeのエディションによっては、MS06-054の修正プログラムを必要としない場合がある。DA Lab.で調査した限りでは、MS06-054の対象となる日本語版Office製品は下表のとおりだ。

■MS06-054の修正プログラムを適用するとPublisher 2.0のファイルが開けなくなる不具合
　MS06-054の修正プログラムを適用すると、Publisher 2.0で作成した文書ファイルが開けなくなる不具合が生じる。開けない文書ファイルは、MS06-054を適用していないPublisher 2000／2002／2003でいったん開いてから、［ファイル］−［名前を付けて保存］を実行して「ファイルの種類」を「Publisher ファイル」に変更して保存する。これでMS06-054を適用したPublisherでも開けるようになる。

■Publisher 2000向けはOffice Updateで提供
　MS06-054のPublisher 2000向けの修正プログラムは、ダウンロード・センターとOffice Updateで提供されている。Microsoft UpdateはPublisher 2000に対応していないため、MS06-054の修正プログラムは表示されないので注意が必要だ（自動更新でも適用されない）。ダウンロード・センターで修正プログラムを入手して手動で適用を行うか、Office Updateを実行する必要がある。

　なおPublisher 2002／2003向けの修正プログラムは、Microsoft Updateで提供されるため、ほかのセキュリティ修正プログラムとともに選択・適用が可能だ。

■修正プログラムのアンインストールに必要な条件
　Publisher 2002／2003向けの修正プログラムは、以下の条件を満たせばアンインストール可能である。

• OSがWindows XP SP2またはWindows Server 2003 SP1
• Windows Installer 3.0以降をインストールした後で修正プログラムを適用
• OfficeのインストールCDにアクセス可能

　修正プログラムが正しく適用できたかどうかは、MSPUB.EXE／PRTF9.DLL／PTXT9.DLLのファイルのバージョンをプロパティで調べることで確認できる。なおPublisherがインストールされていない場合は、MSPUB.EXEは存在しない。

・Office 2000 SP3：
［展開ビュー］−［Office］タブに「名前：office2000-kb894540-fullfile-jpn.exe」で登録

・Office XP SP3：
［展開ビュー］−［Office］タブに「名前：officexp-KB894541-FullFile-JPN.exe」で登録

・Office 2003 SP1／SP2：
［展開ビュー］−［Office］タブに「名前：office2003-KB894542-FullFile-JPN.exe」で登録