深刻度 |
|
1(緊急) |
→ |
2(重要) |
|
3(警告) |
|
4(注意) |
|
攻撃コードの有無 |
なし |
対策 |
早期適用 |
再起動の必要性 |
不要 |
アンインストール |
可能 |
対象環境 |
|
セキュリティ情報 |
|
サポート技術情報 |
|
含まれる過去の修正 |
なし |
脆弱性識別番号 |
|
|
MS08-019/949032 |
Visioのメモリ検証の脆弱性により、リモートで任意のコードが実行される危険性 |
(Microsoft Visio の脆弱性により、リモートでコードが実行される) |
対応の緊急性:早期適用 [攻撃コード未公開][攻撃事例なし]
|
危険性 |
|
脆弱性による危険性を示す。「緊急適用」の場合、すでに攻撃コードが公開されているなど、脆弱性を悪用した攻撃が開始される可能性がある。「SP待ち」の場合、現時点では危険性がそれほど高くないため、サービスパックに反映されるまで待つことが可能であることを示す。 |
可能性のある攻撃
攻撃手法 |
脆弱性の影響 |
リモート攻撃 |
ウイルス/ワーム |
電子メール添付 |
Webサイトへの誘導 |
コードの実行 |
権限の昇格 |
情報の漏えい |
サービス拒否 |
なりすまし |
|
|
○ |
○ |
○ |
|
|
|
|
|
|
|
|
Microsoft Visioが、Visioファイルを処理する方法などに脆弱性が存在する。細工されたVisioファイルを開くと、任意のコードが実行される危険性がある。
攻撃としては、細工したVisioファイルをWebページ上に置くか、電子メールの添付ファイルとして送信し、それをユーザーに開かせるように誘導する方法が考えられる。ただしVisio
2002/2003/2007では、Webページ上に置かれたファイルを開く場合、[ファイルのダウンロード]ダイアログが表示されるため、ここで[はい]ボタンをクリックしない限り、攻撃が実行されることはない。同様に、電子メールに細工されたVisioファイルが添付された場合においても、添付ファイルをユーザーが開かない限り、自動的に攻撃が実行されることはない。
MS08-019の脆弱性は、特定の企業や団体をターゲットにした電子メール添付型ウイルスに悪用される危険性が高いので注意した方がよい。またWebページによる攻撃では、スパイウェアやトロイの木馬のインストールに悪用されることも懸念される。 |
脆弱性の内容
|
MS08-019の修正プログラムは、以下の2件の脆弱性を解消する。
■Visioのオブジェクト・ヘッダの脆弱性
この脆弱性は、VisioがVisioファイルを開く際、オブジェクト・ヘッダのデータを十分に検証しないことに起因する。細工されたVisioファイルを開くと、任意のコードが実行されるような方法で、オブジェクト・ヘッダのデータに対するメモリ割り割り当てられてしまう。
現時点では、実証コードや攻撃事例は報告されていない。
■Visioのメモリ検証の脆弱性
この脆弱性は、Visioが.DXF(AutoCAD)ファイルをメモリに読み込む際に、メモリの割り当てを十分に検証しないことに起因する。細工された.DXFファイルを開くと、任意のコードが実行されるような方法でメモリ割り割り当てられてしまう。
現時点では、実証コードや攻撃事例は報告されていない。 |
対象プラットフォーム
|
影響を受けるソフトウェア |
対象プラットフォーム |
Visio 2002 |
Visio 2002 SP2 |
Visio 2003 |
Visio 2003 SP2/SP3 |
Visio 2007 |
Visio 2007 SP未適用/SP1 |
|
|
‥‥‥
DA Lab:HotFixテスティング・チームからのコメント ‥‥‥ |
■適用テストの結果
DA Labでは、以下のプラットフォームで修正プログラムの適用テストを行った。
プラットフォーム |
適用テスト結果 |
Windows 2000 Professional SP2+Visio Professional 2002 SP2 |
○ |
Windows XP Professional SP2+Visio Professional 2003 SP2 |
○ |
Windows Vista Business SP1+Visio Professional 2007 SP未適用 |
○ |
○は問題なし、△は一部に問題あり、×は適用による障害あり |
■MBSA 2.0.1の結果
MS08-019の修正プログラムが正しく適用されているかどうかは、MBSA 2.0.1で確認可能だ。未適用の場合は、「Officeのセキュリティの更新プログラム」の「結果の詳細情報」に以下のいずれかが表示される。
- Microsoft Visio 2002 セキュリティ更新プログラム: KB947896
- Microsoft Office Visio 2003 セキュリティ更新プログラム: KB947650
- Microsoft Office Visio 2007 セキュリティ更新プログラム: KB947590
|
適用時の注意点
|
■Visioをインストールしていないのに、MS08-019の修正プログラムがMicrosoft Update/Office
Update/自動更新に表示される
Visioをインストールしていなくても、Office 2007がインストールされた環境では、Microsoft Update/Office Update/自動更新においてMS08-019の修正プログラムが表示される。しかしMS08-019の修正プログラムで置き換わるファイルを調べたところ、Visioがインストールされていない状態では、これらのファイルはシステムに含まれていない。実際、VisioがインストールされていないOffice
2007に対して、MS08-019の修正プログラムを適用しても、ファイルの置き換えなどは行われず終了してしまう。
TechNetセキュリティ情報にも、この件についての記述がないため、なぜMicrosoft Update/Office Update/自動更新において適用を促すのか不明だ。Visioをインストールしていないのであれば、MS08-019の修正プログラムの適用は不要だと思われる。
■MS08-019の修正プログラムを適用したVisio 2003で発生する不具合
MS08-019の修正プログラムをVisio 2003に適用すると、AutoCAD 2000の.DWGファイル/.DXFファイルをVisio 2003で操作しようとすると、エラーが発生したり、Visioがハングアップしたりする不具合が発生する。サポート技術情報によれば、AutoCAD
2000の.DWGファイル/.DXFファイルをAutoCAD 14の.DWGファイル、AutoCAD 12の.DXFファイルに変換してからで保存することで、Visio
2003でも開けるようになるということだ。古いAutoCADのデータを、Visio 2003で利用しているような場合には注意が必要だ。
・サポート技術情報 947650(MS08-019: Office Visio 2003 のために、セキュリティ更新プログラムの説明:2008年 April
8日):
http://support.microsoft.com/default.aspx?scid=kb;ja;947650(機械翻訳)
■修正プログラムのアンインストールに必要な条件
MS08-019の修正プログラムは、以下の条件を満たせばアンインストール可能である。
- OSがWindows XP SP2またはWindows Server 2003 SP1/SP2
- Windows Installer 3.0以降をインストールした後で修正プログラムを適用
- OfficeのインストールCDにアクセス可能
|
|
|
プラットフォーム |
ダウンロード・センター |
Office Update/MU/WSUSの表示 |
Visio 2002 SP2 |
|
Microsoft Visio 2002 セキュリティ更新プログラム: KB947896 |
Visio 2003 SP2/SP3 |
|
Microsoft Office Visio 2003 セキュリティ更新プログラム: KB947650 |
Visio 2007 SP未適用/SP1 |
|
Microsoft Office Visio 2007 セキュリティ更新プログラム: KB947590 |
|
|
|
以下のファイルにパッチが適用される。障害の発生が懸念される場合は、これらのファイルのバックアップを取っておくとよい。
Visio 2002 SP2:
ファイル名 |
日付 |
バージョン |
サイズ |
Visio2002-KB947896-FullFile-JPN.EXE |
2008/02/15 |
10.2.6871.0 |
5,563,464 |
ファイル名 |
日付 |
バージョン |
サイズ |
機能 |
展開フォルダ |
%ProgramFiles%\Microsoft Office\Visio10\ (デフォルトの設定) |
Visio.exe |
2008/02/13 |
10.0.6871.4 |
71,264 |
Microsoft Visio |
Vislib.dll |
2008/02/13 |
10.0.6871.4 |
6,379,104 |
Microsoft Visio DLL |
|
%ProgramFiles%\Microsoft Office\Visio10\DLL\ (デフォルトの設定) |
DFDC.dll |
2007/03/05 |
10.0.6861.4 |
1,462,272 |
DFD modeling add-on. |
Dwgcnvt.dll |
2008/01/24 |
10.0.6871.4 |
2,600,960 |
Visio DWGCNVT DLL |
UMLC.dll |
2007/03/05 |
10.0.6861.4 |
1,441,792 |
Visio UML modeling addon. |
Umlsystem.dll |
2007/03/06 |
10.0.6861.4 |
548,864 |
UML system |
Visiodwg.dll |
2008/02/14 |
10.0.6871.4 |
2,428,928 |
Visio VISIODWG DLL |
Visio 2003 SP2/SP3:
ファイル名 |
日付 |
バージョン |
サイズ |
visio2007-kb947590-fullfile-x86-glb.exe |
2008/02/16 |
12.0.6303.5000 |
16,012,528 |
ファイル名 |
日付 |
バージョン |
サイズ |
機能 |
展開フォルダ |
%ProgramFiles%\Microsoft Office\Visio11\ (デフォルトの設定) |
VISBRGR.DLL |
2008/02/13 |
11.0.8207.0 |
7,817,768 |
Microsoft Visio Document Bridger |
VISIO.EXE |
2008/02/13 |
11.0.8207.0 |
188,968 |
Microsoft Office Visio |
VISLIB.DLL |
2008/02/13 |
11.0.8207.0 |
8,296,032 |
Microsoft Office Visio DLL |
VISOCX.DLL |
2008/02/13 |
11.0.8205.0 |
107,568 |
Microsoft Visio Drawing Control |
|
%ProgramFiles%\Microsoft Office\Visio11\DLL\ (デフォルトの設定) |
AEC.DLL |
2007/06/20 |
11.0.8161.0 |
868,744 |
Aec.dll - Building Plan Solution |
DWGCNV.DLL |
2008/02/13 |
11.0.8207.0 |
155,744 |
DWGCNV.DLL |
DWGDP.DLL |
2008/02/13 |
11.0.8207.0 |
2,098,272 |
Visio DWG Display DLL |
MODELENG.DLL |
2007/06/20 |
11.0.8161.0 |
484,760 |
Visio modeling engine. |
ORGCHART.DLL |
2008/02/01 |
11.0.8205.0 |
1,001,576 |
Visio Organization Chart Solution DLL |
ORGCHWIZ.DLL |
2007/06/20 |
11.0.8161.0 |
469,912 |
Visio Organization Chart Wizard DLL |
UML.DLL |
2007/06/20 |
11.0.8161.0 |
1,511,256 |
Visio UML modeling addon. |
UMLSYS.DLL |
2007/06/20 |
11.0.8161.0 |
554,336 |
UML system. |
Visio 2007 SP未適用/SP1:
ファイル名 |
日付 |
バージョン |
サイズ |
Project2003-KB948962-FullFile-JPN.exe |
2008/03/19 |
11.0.8207.0 |
7,174,216 |
ファイル名 |
日付 |
バージョン |
サイズ |
機能 |
展開フォルダ |
%ProgramFiles%\Common Files\Microsoft Shared\Visio Shared\ |
VISFILT.DLL |
2007/12/7 |
12.0.6300.5000 |
1,699,880 |
Microsoft Office Visio IFilter |
|
%ProgramFiles%\Microsoft Office\Office12\ (デフォルトの設定) |
AEC.DLL |
2007/12/07 |
12.0.6300.5000 |
916,008 |
Ace.dll - Building Plan Solution |
BSTORM.DLL |
2007/12/07 |
12.0.6300.5000 |
593,456 |
Visio Brainstorming Solution DLL |
DBENGR.DLL |
2007/12/07 |
12.0.6300.5000 |
705,576 |
Visio database modeling Add-on |
DRILLDWN.DLL |
2007/12/13 |
12.0.6300.5000 |
989,224 |
Visio Drilldown Solution DLL |
DWGDP.DLL |
2007/12/07 |
12.0.6300.5000 |
1,933,848 |
Visio DWG Display DLL |
FACILITY.DLL |
2007/12/07 |
12.0.6300.5000 |
1,181,720 |
Visio Facilities DLL |
GANTT.DLL |
2007/12/07 |
12.0.6300.5000 |
972,312 |
Gantt Chart Addon DLL |
HVAC.DLL |
2007/12/07 |
12.0.6300.5000 |
328,216 |
HVAC.dll - HVAC solution |
ORGCHART.DLL |
2007/12/07 |
12.0.6300.5000 |
1,244,216 |
Visio Organization Chart Solution DLL |
ORGCHWIZ.DLL |
2007/12/07 |
12.0.6300.5000 |
467,000 |
Visio Organization Chart Wizard DLL |
PE.DLL |
2007/12/07 |
12.0.6300.5000 |
572,960 |
Process Engineering DLL |
SG.DLL |
2007/12/07 |
12.0.6300.5000 |
1,851,928 |
Visio Shape Gallery |
TIMESOLN.DLL |
2007/12/07 |
12.0.6300.5000 |
968,752 |
Visio TimeSolution Solution DLL |
UML.DLL |
2007/12/07 |
12.0.6300.5000 |
1,494,048 |
Visio UML modeling addon |
VISBRGR.DLL |
2008/02/15 |
12.0.6303.5000 |
6,222,384 |
Microsoft Visio Document Bridger |
VISGRF.DLL |
2007/12/13 |
12.0.6300.5000 |
389,136 |
Visio Graph Object |
VISIO.EXE |
2007/12/13 |
12.0.6300.5000 |
185,880 |
Microsoft Office Visio |
VISLIB.DLL |
2007/12/13 |
12.0.6300.5000 |
11,653,152 |
Microsoft Office Visio DLL |
VISOCX.DLL |
2007/12/07 |
12.0.6300.5000 |
134,192 |
Microsoft Visio Drawing Control |
VISWEB.DLL |
2007/12/07 |
12.0.6300.5000 |
730,168 |
Microsoft Visio Web diagramming DLL |
XFUNC.DLL |
2007/12/07 |
12.0.6300.5000 |
423,976 |
Cross Functional Flowchart DLL |
|
|
|
修正プログラムが正しく適用できたかどうかは、置き換わるファイルのバージョンをプロパティで調べることで確認できる。 |
UpdateEXPERT上の表示
|
・Visio 2002 SP2:
UpdateEXPERTのサポート対象外
・Visio 2003 SP2/SP3:
UpdateEXPERTのサポート対象外
・Visio 2007 SP未適用/SP1:
UpdateEXPERTのサポート対象外 |
|
|