MDACコンポーネントに含まれるRDS.DataSpaceのActiveXコントロールに脆弱性が存在し、リモートで任意のコードが実行される危険性がある。RDS.DataSpaceのActiveXコントロールは、ActiveXデータ・オブジェクト（ADO）の一部として提供されているものだ。HTML形式の電子メールやWebページの細工されたリンクをクリックすると、任意のコードが実行されてしまう。最悪の場合、コンピュータの制御が完全に奪われる可能性がある。

　マイクロソフトによれば、MS06-014の脆弱性は非公開で報告されたとしており、実証コードや攻撃例は確認されていないという。しかしこの脆弱性は、アドウェアやスパイウェアのインストールに悪用される危険性が高い。至急、修正プログラムを適用した方がよい。

　RDS.DataSpaceのActiveXコントロールの動作に脆弱性が存在し、特定の状況下において、データの安全なやり取りが行われなくなる危険性がある。この脆弱性が悪用されると、任意のコードが実行される危険性がある。

　Remote Data Service（RDS）とは、ADOの機能の一種で、サーバからクライアント・アプリケーションなどにデータを移動して操作した後に、その更新内容をサーバに戻す際に利用される。WebアプリケーションでRDSを利用することで、イントラネットやインターネットを介してODBCデータベースとの連携が可能になる。MS06-014の脆弱性の原因となっているRDS.DataSpaceは、RDSの主要機能で、HTTPプロキシのインスタンスなどを作成する際に利用されるものだ。

　この脆弱性を発見したFinjanは、MS06-014の脆弱性を実証したビデオを公開している。ビデオでは、Webページのリンクをクリックすると、ローカル・コンピュータ上の特定のフォルダにdirコマンドを実行した結果のファイルが保存される。Finjanによれば、この脆弱性を悪用することで、ユーザーの権限で任意のコードが実行させることが可能であるとしている。

・Finjan（Finjan Identifies Critical Microsoft Vulnerability That Could Be Exploited via Internet Explorer）：
http://www.finjan.com/Pressrelease.aspx?id=732&PressLan=293&lan=3

■適用テストの結果
　DA Labでは、以下のプラットフォームで修正プログラムの適用テストを行った。

■インストールされているMDACのバージョンを確認する方法
　MDACは、Windows OSにデフォルトでインストールされているほか、サービスパックやアプリケーションなどに同梱されているため、Windows OSのデフォルトとは異なるバージョンがインストールされている可能性がある。MS06-014の修正プログラムを手動でインストールする場合、MDACのバージョンにあわせて修正プログラムを選択する必要がある。つまり、システムにインストールされているMADCのバージョンを調べなければならない。

　詳細は、「サポート技術情報：301202」を参照していただきたい。

・サポート技術情報 301202（MDAC のバージョンを確認する方法）：
http://support.microsoft.com/default.aspx?scid=kb;ja;301202

　最も簡単なのは、ダウンロード・センターからComponent Checker（cc_pkg.exe）をダウンロードし、調査対象のコンピュータにインストールして実行することだ。システムのチェック後にMADCのバージョンが表示されるはずだ。

・ダウンロード・センター（MDAC Utility: Component Checker）：
http://www.microsoft.com/downloads/details.aspx?
FamilyId=8F0A8DF6-4A21-4B43-BF53-14332EF092C9&displaylang=en
＃英語版のツールだが、日本語Windows OSでも利用可能

　MS06-014の修正プログラムは、OSと、上記の方法で表示されたMDACのバージョンに合わせたものを適用すればよい。例えば、Windows 2000 SP4で、Component Checkerの表示がMDAC 2.8 RTMならば、Windows 2000 SP4＋MDAC 2.8向けの修正プログラムを適用する。以下に、各Windows OSおよびMDACのバージョン、MS06-014の修正プログラムとの対応をまとめてみた。

■MDAC 2.5 SP2以前とMDAC 2.6系、MDAC 2.7 RTMはバージョンアップが必要
　MS06-014の修正プログラムは、MDAC 2.5 SP2以前とMDAC 2.6 RTM〜SP2、MDAC 2.7 RTMに対する提供がない。これらのバージョンはすでにサポートが終了しており、今後もセキュリティ修正プログラムがリリースされる見込みはないので、MS06-014の適用対象、すなわちサポート対象であるMDACにバージョンアップする必要がある。

　MDACのバージョンアップで特に注意すべきなのは、Windows 2000＋MDAC 2.6〜2.7 RTMの場合で、明示的にMDAC 2.7 SP1以降のバージョンをインストールする必要がある。そのためのインストール パッケージは以下のページからダウンロードできる。

・ダウンロード センター（Microsoft Data Access Components (MDAC) 2.7 Service Pack 1 Refresh - 日本語）：
http://www.microsoft.com/downloads/details.aspx?
FamilyID=9ad000f2-cae7-493d-b0f3-ae36c570ade8&DisplayLang=ja

・ダウンロード センター（Microsoft Data Access Components (MDAC) 2.8）：
http://www.microsoft.com/downloads/details.aspx?
FamilyID=6c050fe3-c795-4b7d-b037-185d0506396c&DisplayLang=ja

・ダウンロード センター（Microsoft Data Access Components (MDAC) 2.8 SP1）：
http://www.microsoft.com/downloads/details.aspx?
FamilyID=78cac895-efc2-4f8e-a9e0-3a1afbd5922e&DisplayLang=ja

　Windows 2000＋MDAC 2.5系列およびWindows XP、Windows Server 2003の場合は、OSのサービスパックをインストールすると、自動的にMDACのバージョンもサポート対象まで上がる。

　なお、MS06-014の修正プログラムが対応していないMDACのバージョンがインストールされている場合、Microsoft Updateなどでは適用すべき修正プログラムの一覧にMS06-014の修正プログラムがリストアップされない。一見すると脆弱性がないように見えるので注意が必要だ。

■MBSA 2.0の結果
　MS06-014の修正プログラムが正しく適用されているかどうかは、MBSA 2.0で確認可能だ。未適用の場合は、「Windowsのセキュリティの更新」の「結果の詳細情報」に、インストールされているMDACのバージョンによって以下が表示される。

• Microsoft Data Access Components 2.5 Service Pack 3 用セキュリティ更新プログラム (KB911562)
• Microsoft Data Access Components 2.7 Service Pack 1 用セキュリティ更新プログラム (KB911562)
• Microsoft Data Access Components 2.8 用セキュリティ更新プログラム (KB911562)
• Microsoft Data Access Components 2.8 Service Pack 1 用セキュリティ更新プログラム (KB911562)
• Windows XP 用セキュリティ更新プログラム (KB911562)
• Windows Server 2003 用セキュリティ更新プログラム (KB911562)

　修正プログラムが正しく適用できたかどうかは、以下のレジストリ・キーにある値を調べることで確認できる。

・MDAC 2.5 SP3（Windows 2000 SP4）：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\DataAccess\MDAC25\SP3\KB911562\Filelist以下のファイル一覧を確認する

・MDAC 2.7 SP1（Windows 2000 SP4）：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\DataAccess\MDAC27\SP1\KB911562\Filelist以下のファイル一覧を確認する

・MDAC 2.8（Windows 2000 SP4、Windows XP SP1／SP1a）：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\DataAccess\MDAC28\SP0\KB911562\Filelist以下のファイル一覧を確認する

・MDAC 2.8 SP1（Windows 2000 SP4）：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\DataAccess\MDAC28\SP1\KB911562\Filelist以下のファイル一覧を確認する

・MDAC 2.7 SP1／MDAC 2.8 SP1（Windows XP SP1／SP1a／SP2）：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows XP\SP3\KB911562\Filelist以下のファイル一覧を確認する

・MDAC 2.8／MDAC 2.8 SP2（Windows Server 2003 SP未適用／SP1）：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows Server 2003\SP2\KB911562\Filelist以下のファイル一覧を確認する

・Windows 2000 SP4＋MDAC 2.5 SP3：
［展開ビュー］−［MDAC］タブに「名前：MDAC253-KB911562-x86-JPN.exe」で登録

・Windows 2000 SP4＋MDAC 2.7 SP1：
［展開ビュー］−［MDAC］タブに「名前：MDAC271-KB911562-x86-JPN.exe」で登録

・Windows 2000 SP4、Windows XP SP1／SP1a＋MDAC 2.8：
［展開ビュー］−［MDAC］タブに「名前：MDAC28-KB911562-x86-JPN.exe」で登録

・Windows 2000 SP4＋MDAC 2.8 SP1：
［展開ビュー］−［MDAC］タブに「名前：MDAC281-KB911562-x86-JPN.exe」で登録

・Windows XP SP1／SP1a／SP2＋MDAC 2.7 SP1／MDAC 2.8 SP1：
［展開ビュー］−［MDAC］タブに「名前：WindowsXP-KB911562-x86-JPN.exe」で登録

・Windows Server 2003 SP未適用／SP1＋MDAC 2.8／MDAC 2.8 SP2：
［展開ビュー］−［MDAC］タブに「名前：WindowsServer2003-KB911562-x86-JPN.exe」で登録