Outlookの「高度な検索（［ツール］−［高度な検索］メニュー）」機能においてossファイル（検索条件を保存したファイル）を処理する過程にデータ検証を十分に行われない脆弱性を含む3種類の脆弱性が存在する。

　「高度な検索」機能の脆弱性では、細工されたossファイルを開くと、メモリ破損が起こり、任意のコードが実行される危険性がある。Webページ上の細工されたossファイルへのリンクをクリックしたり、電子メールに添付されたossファイルを開いたりするだけで攻撃が実行されてしまうため、危険性が高い。

　マイクロソフトによれば、MS07-003で解消される3種類の脆弱性は、いずれも現時点で実証コードや攻撃例は確認されていないという。ただし脆弱性が公開されたことから、悪用の危険性増大が予想される。至急修正プログラムを適用した方がよい。

　MS07-003の修正プログラムは、以下の3種類の脆弱性を解消する。

■Outlookの高度な検索の脆弱性（深刻度：緊急　CVE：CVE-2007-0034）
　Outlookの「高度な検索」機能のossファイルを処理する過程で十分にデータ検証が行われない脆弱性が存在する。その結果、細工されたossファイルを開くとメモリ破損が発生し、任意のコードが実行される危険性がある。

　ossファイルは、「高度な検索」機能で検索条件を保存しておくためのファイルである。ossファイルを利用することで、設定した検索条件を保存したり、保存した検索条件を読み込むことで再検索したりすることが可能になる。

■OutlookのVEVENTの脆弱性（深刻度：重要　CVE：CVE-2007-0033）
　OutlookのiCalミーティング・リクエスト（icsファイル）を処理する過程で、VEVENTレコードの解析処理に十分にデータを検証しない脆弱性が存在する。その結果、細工されたicsファイルを開くと、メモリ破損が発生し、任意のコードが実行される危険性がある。

　iCalミーティング・リクエストは、Outlookでは主に会議出席依頼に使用されるもので、予定が埋め込まれたicsファイルをやり取りすることで、Outlookでのスケジュール情報を交換できる。

　この脆弱性は、Outlook 2002／2003のみに存在し、Outlook 2000には影響しない。

■Outlookのサービス拒否の脆弱性（深刻度：警告　CVE：CVE-2006-1305）
　Outlookが電子メールのヘッダ情報を処理する過程に未チェック・バッファの脆弱性が存在する。その結果、ヘッダが細工された電子メールを受信すると、サービス拒否が起こり、Outlookが異常終了したり、応答しなくなったりする。

　マイクロソフトによれば、実証コードや攻撃例は確認されていないものの、この脆弱性に関する情報は一部で公開されていたとしている。

■適用テストの結果
　DA Labでは、以下のプラットフォームで修正プログラムの適用テストを行った。

■MBSA 2.01の結果
　修正プログラムが正しく適用されているかどうかは、MBSA 2.01で確認可能だ。未適用の場合は、「Officeのセキュリティの更新プログラム」の「結果の詳細情報」に以下のいずれかが表示される。Outlook 2000は、MSBA 2.01でサポートされておらず、適用状態の確認はできない。

• Outlook 2002 セキュリティ更新プログラム: KB921594
• Outlook 2003 セキュリティ更新プログラム: KB924085

■MS07-003の修正プログラム適用で「高度な検索」機能のossファイルの保存や表示ができなくなる
　MS07-003の修正プログラムを適用するとOutlookの「高度な検索」機能で、「条件の保存」による検索条件の保存や表示が利用できなくなる不具合が発生する。MS07-003の修正プログラムは、これらの機能を無効化することで「Outlookの高度な検索の脆弱性」を解消しているようだ。

　検索条件の保存機能がどうしても必要であれば、レジストリ情報の変更により機能の復活が可能だ。ただし、有効化すると「Outlookの高度な検索の脆弱性」も復活してしまうおそれがある。従って機能が必要不可欠というのでないかぎり、設定はしないほうがよいだろう。

　「条件の保存」機能を再有効化するには、レジストリ・エディタで以下のレジストリ・キーを設定する。この設定はユーザーごとに行う必要がある。

■修正プログラムのアンインストールに必要な条件
　Outlook 2002／2003向けの修正プログラムは、以下の条件を満たせばアンインストール可能である。これに対しOutlook 2000向けの修正プログラムはアンインストールできないので、適用前に十分な検証を行うべきだ（修正プログラムをアンインストールするには、Outlook 2000のアンインストールと再インストールが必要になる）。

• OSがWindows XP SP2またはWindows Server 2003 SP1
• Windows Installer 3.0以降をインストールした後で修正プログラムを適用
• OfficeのインストールCDにアクセス可能

　修正プログラムが正しく適用できたかどうかは、置き換わるファイルのバージョンをプロパティで調べることで確認できる。

・Outlook 2000（Office 2000 SP3）：
［展開ビュー］−［Outlook］タブに「名前：office2000-kb921593-fullfile-jpn.exe」で登録

・Outlook 2002（Office XP SP3）：
［展開ビュー］−［Outlook］タブに「名前：officexp-KB921594-FullFile-JPN.exe」で登録

・Outlook 2003（Office 2003 SP2）：
［展開ビュー］−［Outlook］タブに「名前：office2003-KB924085-FullFile-JPN.exe」で登録