企業や組織におけるWebサイトの運用や管理を支援するソフトウェア「Content Management Server（CMS）」にメモリ破損とクロスサイト・スクリプティング、なりすましの脆弱性が存在する。細工されたURLをCMSがHTTP GETリクエストによって受信すると、メモリ破損が起こり、任意のコードが実行される危険性がある。

　CMSを利用している場合、インターネット経由で攻撃を受ける危険性があるので注意が必要だ。

　マイクロソフトによれば、MS07-018の脆弱性は非公開で報告されたとしており、攻撃例は確認されていないという。ただし脆弱性の内容が公開されたことから、実証コードが開発され、攻撃に悪用されることが懸念される。なるべく早急に修正プログラムを適用した方がよい。

　MS08-018の修正プログラムは、以下の2件の脆弱性を解消する。

■CMSのメモリの破損の脆弱性（深刻度：緊急　CVE：CVE-2007-0938）
　CMSがHTTPリクエストの文字を検証する方法に脆弱性が存在する。細工されたURLをHTTP GETリクエストで受信すると、メモリ破損が起こり、任意のコードが実行されてしまう。インターネット経由での攻撃が可能なので、非常に危険性の高い脆弱性である。

■CMSのクロスサイト・スクリプティングおよびなりすましの脆弱性（深刻度：重要　CVE：CVE-2007-0939）
　CMSがHTMLリダイレクション・クエリで提供している入力に対し、ブラウザに送信する前の検証が十分でないことから、クロスサイト・スクリプティングの脆弱性が起こる。

　この脆弱性が悪用されると、攻撃者によってユーザーのブラウザにスクリプトを挿入し、実行される危険性がある。これにより、コンテンツのなりすましや情報の漏えい、ユーザーが可能な操作を行われる可能性もある。

■適用テストの結果
　DA Labでは、以下のプラットフォームで修正プログラムの適用テストを行った。

■MBSA 2.0.1の結果
　MS07-018の修正プログラムが正しく適用されているかどうかは、CMS 2002 SP2のみMBSA 2.0.1で確認可能である。未適用の場合は、「Officeのセキュリティの更新プログラム」の「結果の詳細情報」に以下のいずれかが表示される。

• Microsoft Content Management Server 2002 セキュリティ更新プログラム: KB924429

■MS07-018のCMS 2001 SP1向け修正プログラムは日本語環境に適用できない
　DA Labで日本語版Windows 2000 Server SP4にCMS 2001 SP1をインストールした環境を構築し、これにMS07-018のCMS 2001 SP1向け修正プログラムの適用を試したところ、ダウンロード・センターから入手した修正プログラムの手動適用ならびにOffice Updateによる適用ともに、適用に失敗した（Office Updateでは、適用が正常に完了したように見えるが、ログを確認すると修正プログラムが適用されていないことが分かる）。エラー・メッセージを見ると、修正プログラムが事前にWindows OSの言語バージョンを確認し、英語版でないと適用を終了してしまうようだ。日本語版Windows OSにCMS 2001 SP1をインストールしている場合は、マイクロソフトに問い合わせた方がよいだろう（CMS 2001 SP1が日本語Windows OSをサポートしていない可能性もある。ただしCMS 2001 SP1自体を日本語Windows OSにインストールすることは可能）。

■MS07-018の修正プログラムはアンインストールできない
　MS07-018の修正プログラムは、アンインストールできない。障害発生に備えて、適用前にシステムのバックアップを取っておくことを勧める。

■CMS 2001ではMS03-002の修正プログラムを事前にインストールすることを推奨
　「TechNetセキュリティ情報：MS07-018」の「このセキュリティ更新プログラムに関するよく寄せられる質問」によれば、CMS 2001の場合、MS07-018の修正プログラムを適用する前に、MS03-002を適用しておくことを推奨している。MS03-002は、CMS 2001に対するそれまで（2003年1月23日以前）の修正プログラムをまとめたものとなっている。MS07-018には、このMS03-002の修正プログラムが含まれていないので、併せて適用する必要がある。

■CMS 2001の修正プログラムは英語版Office Update／ダウンロード・センターから入手する必要がある
　CMS 2001は、日本語版がリリースされておらず、英語版での提供となっている。そのため、マイクロソフトの日本語版のOffice Updateやダウンロード・センターでは、修正プログラムが表示されない。英語版のOffice Updateまたはダウンロード・センターから入手する必要がある。

・Office Update（Updates for Content Management Server 2001）：
http://office.microsoft.com/en-us/downloads/CD102068701033.aspx

・ダウンロード・センター（英語版）：
http://www.microsoft.com/downloads/search.aspx?displaylang=en

　Content Management Serverはサポート対象外とし、展開されるファイル情報は、割愛させていただきます。

　修正プログラムが正しく適用できたかどうかは、置き換わるファイルのバージョンで確認できる。