Excel 2000／2002にバッファ・オーバーフローの脆弱性があり、任意のプログラムが実行される危険性がある。攻撃は、細工したExcelファイルをWebサイトに置き、ユーザーがそれをクリックするように誘導したり、電子メールの添付ファイルとして送信してユーザーに開くように仕向けたりすることで実行される。ユーザーが管理者権限でログオンしていた場合、プログラムのインストール、データの表示／変更／削除、完全な特権を持つ新規のアカウントの作成など、コンピュータの制御が完全に奪われる危険性がある。ファイル添付型のウイルスに悪用されることが懸念されるので、至急、修正プログラムの適用を行いたい。

　マイクロソフトによれば、MS04-033の脆弱性は非公開で報告されたとしており、実証コードや攻撃例は確認されていないという。ただし、最近では脆弱性が公開されると、1カ月程度で実証コードや悪用した攻撃が現れるので注意が必要だ。

　この脆弱性を発見したSecurity-Assessment.comのBrett Moore氏の報告によれば、Excelがファイルから値を読み込む際に、データ・サイズを十分に検証しないため脆弱性が生じるという。この脆弱性は、Macintosh版のOffice 2001／v.Xにも存在する。

・Bugtraq（Buffer Overflow In Microsoft Excel）：
http://www.securityfocus.com/archive/1/378387

■適用テストの結果
　DA Labでは、以下のプラットフォームで修正プログラムの適用テストを行った。

■Office 2000 SP3は「サポート技術情報：835220」の適用でインストールCDが不要になる
　Office 2000 SP3（Excel 2000）向けの修正プログラムは、管理者用更新プログラム（office2000-kb873372-fullfile-jpn.exe）を使い、事前に「サポート技術情報：835220」で提供された修正プログラムを適用しておくことで、インストールCDが求められなくなる（修正プログラムの適用状況によっては必要になることがある）。企業ユーザーなど、大量のコンピュータにMS04-033の修正プログラムを適用する必要がある場合には作業が容易になるだろう。

・サポート技術情報 835220（Office 2000 アップデート (2004 年 2 月 10 日)）：
http://support.microsoft.com/default.aspx/kb/835220

　なお、Office XPについても、インストールCDを不要にする修正プログラムが提供されている。

・サポート技術情報 836046 （[OFFXP] インストール CD なしで Office XP をアップデートする方法）：
http://support.microsoft.com/default.aspx?scid=kb;ja;836046

　ただしこのサポート技術情報には、Office XP SP3を適用する場合だけについて記載されているため、ほかの修正プログラムの適用時にも有効かどうかは不明である。DA Labでは現在調査中である。

■Excel 2002の修正プログラムはOffice Updateでは適用できない
　Excel 2002の修正プログラムをOffice Updateで適用しようとすると、Office XP SP3の適用が求められるため、修正プログラム単体での適用が行えない。ただExcel 2002 SP3では、MS04-033の脆弱性は解消されているので、互換性などの問題がなければ、Excel単体の修正ではなく、Office XP SP3の適用をお勧めする。

■MS03-050以降の不具合修正も含まれる
　MS04-033の修正プログラムは、MS03-050のExcel向け修正プログラムによる修正を含む。しかしそれだけではなく、MS03-050以降にリリースされた限定公開の不具合修正プログラムも含んでいるので、脆弱性の解消とは関係のない部分の挙動が変わっている可能性が高い。詳細は、以下のサポート技術情報の「List of issues that the security update fixes」の項を参照していただきたい。

・サポート技術情報 873372（Description of the Excel 2000 security update: October 12, 2004）：
http://support.microsoft.com/default.aspx?scid=kb;ja;873372

・サポート技術情報 873366（Description of the Excel 2002 security update: October 12, 2004）：
http://support.microsoft.com/default.aspx?scid=kb;ja;873366

■MBSA 1.21の結果
　MS04-034の修正プログラムが正しく適用されているかどうかは、MBSA 1.21で確認可能だ。未適用の場合は、「Officeのアップデート」の「結果の詳細情報」に、「Excel 2000 セキュリティ更新プログラム (KB873372)」「Excel 2002 セキュリティ更新プログラム (KB873372)」のいずれかが表示される。ただし、Office製品はMBSAをローカルで実行した場合のみ検出可能である。

　修正プログラムが正しく適用できたかどうかは、EXCEL.EXEのファイルのバージョンをプロパティで調べることで確認できる。

・Excel 2000 SP3（Office 2000 SP3）：
［展開ビュー］−［Office］タブに「名前：office2000-kb873372-client-jpn.exe」で登録

・Excel 2002 SP2（Office XP SP2）：
［展開ビュー］−［Office］タブに「名前：officexp-kb873366-fullfile-jpn.exe」で登録