Microsoft Jetデータベース・エンジン（以下Jet）に未チェック・バッファの脆弱性があり、任意のコードが実行される危険性があります。攻撃者によって、脆弱性を悪用する細工が施されたデータベース・クエリをJetが受け取ると、プログラムのインストールやデータの表示／変更／削除、完全な特権を持つ新しいアカウントの作成などが行われる危険性があります。

　Jetは、Windows 2000／XP／Windows Server 2003にデフォルトでインストールされています。Windows NT 4.0は、標準構成でJetを含みませんが、Microsoft OfficeなどのアプリケーションによってJetがインストールされることがあります。従って、ほとんどのWindows OSに脆弱性が存在すると考えた方がよいでしょう。マイクロソフトによる最大深刻度は、2番目の「重要」ですが、ウイルスやワームなどに悪用されることが懸念されるため、なるべく早期に修正プログラムの適用を行ってください。

　Jetのデータベース・リクエスト処理に未チェック・バッファの脆弱性があります。Jetは、Microsoft AccessやVisual Basicなどのアプリケーションにデータ・アクセスを提供するコンポーネントです。専用のデータベース以外にも、dBASEやParadox、FoxProなどのデータベースにアクセスする機能も持っています。

　脆弱性を悪用するように作成されたデータベース・クエリをJetを使用するアプリケーション（Microsoft Accessなど）が受け取ると、そのコンピュータで任意のコードが実行される危険性があります。

　またInternet Information Services（IIS）で実行されているWebベースのアプリケーションの中には、Jetを利用しているものがあります。このようなWebアプリケーションでは、インターネットから攻撃を仕掛けられる危険性があるため特に注意が必要です。Webアプリケーションに入力データを確実に検証させることで、脆弱性の影響を軽減できますが、早急に修正プログラムを適用することをお勧めします。

　修正プログラムは、UpdateEXPERTが管理対象とするすべての適用対象プラットフォームにおいて適用テストを通過しました。

■Windows XP SP未適用ではファイルの言語属性が変わる
　Windows XP Professional SP未適用の環境にMS04-014の修正プログラムを適用すると、次のファイルの言語属性が「日本語」から「英語（米国）」に変わることが分かりました。

• msjint40.dll （Microsoft Jet Database Engine International DLL）
• mswstr10.dll （Microsoft Jet Sort Library）

　MS04-014の修正プログラムを適用することで、これらのファイルによって表示されるメッセージが英語になる可能性があるので、ご注意ください。

■Jet 4.0 SP8が含まれる
　MS04-014の修正プログラムには、Jet 4.0の最新のサービスパックであるSP8が含まれます。従ってMS04-014を適用した場合は、Jet 4.0 SP8を別途適用する必要はありません。

　そのためMS04-014の適用による影響は、Jet 4.0のサービスパックと同規模と考えられます。例えば古いJet 4.0をベースに設計された業務アプリケーションなどでは、MS04-014の適用によって挙動が変わる可能性が比較的高いといえます。Jet 4.0の仕様に依存するソフトウェアを運用している場合は、事前の検証をより確実に行うことをお勧めします。

■Jet 4.0が未インストールの環境にも適用可能？
　Jet 4.0が未インストールであるWindows NT 4.0の環境に対して、MS04-014の修正プログラムを適用してみたところ、Jet 4.0のコンポーネントがシステムに組み込まれ、Jet 4.0関連の設定がレジストリに書き込まれることが確認されました。つまり、Jet 4.0が未インストールでもMS04-014の修正プログラムを適用すると、Jet 4.0が組み込まれます。Jet 4.0を組み込みたくない場合、MS04-014の適用には注意が必要です。

■Windows 98／98 SE／Meも脆弱性あり
　「TechNetセキュリティ情報：MS04-014」によれば、JetがインストールされているWindows 98／98 SE／MeにもMS04-014の脆弱性が存在します。%SystemRoot%\System\にMsjet40.dllが存在し、バージョンが「4.0.8618.0」よりも古い場合は、脆弱性の対象となるので注意が必要です。

　マイクロソフトはこの脆弱性を「緊急ではない」としており、Windows 98／98 SE／Me用の修正プログラムは提供していません。回避策はないため、運用に十分注意してください。

・ TechNetセキュリティ情報 MS04-014（Microsoft Jet データベース エンジンの脆弱性によりコードが実行される）：
http://www.microsoft.com/japan/technet/security/bulletin/ms04-014.asp

　Windows 2000 SP2／SP3／SP4とWindows XP SP未適用／SP1／SP1aは、以下のレジストリ・キーにある値を確認してください。また、「適用されるファイル情報」に記載されているファイル・バージョンと比較することでも確認可能です。

・Windows 2000 SP2／SP3／SP4：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows 2000\SP5\KB837001\Filelist

・Windows XP SP未適用／SP1／SP1a：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows XP\SP2\KB837001\Filelist

　手動で修正プログラムをインストールする場合は、以下のURLでダウロードを実行してください。

・Windows NT 4.0 SP6a：
http://www.microsoft.com/downloads/details.aspx?FamilyID=7678462a-52ec-48d5-9aeb-46ec4cc053c7&DisplayLang=ja

・Windows 2000 SP2／SP3／SP4：
http://www.microsoft.com/downloads/details.aspx?FamilyID=5813346a-7ec2-4f57-a199-8375da0ad816&DisplayLang=ja

・Windows XP SP未適用／SP1／SP1a：
http://www.microsoft.com/downloads/details.aspx?FamilyID=ea17d1cb-075e-4b63-bc45-06ebbf41c6b5&DisplayLang=ja

・Windows Server 2003：
http://www.microsoft.com/downloads/details.aspx?FamilyId=216D708B-3A55-4B50-8AD2-BFF06B668CBB&displaylang=ja

　また、Windows NT Server 4.0, Terminal Server Edition Service Pack 6を除き、Windows UpdateからもMS04-014の全修正プログラムが適用できます。

・Windows NT 4.0 SP6a：
　［展開ビュー］−［OS］タブに「名前：Jet40-KB837001-JPN.exe」で登録

・Windows 2000 SP2／SP3／SP4：
　［展開ビュー］−［OS］タブに「名前：Windows2000-KB837001-x86-JPN.EXE」で登録

・Windows XP SP未適用／SP1／SP1a：
　［展開ビュー］−［OS］タブに「名前：WindowsXP-KB837001-x86-JPN.EXE」で登録