ステップ・バイ・ステップの対話型トレーニング（以下、インタラクティブ・トレーニング）に未チェック・バッファの脆弱性が存在する。細工されたブックマーク・リンク・ファイル（.cbo／.cbl／.cbmファイル)をユーザーが開くと、任意のコードが実行される危険性がある。

　攻撃は、細工したブックマーク・リンク・ファイル（.cbo／.cbl／.cbmファイル)を電子メールに添付するなどしてそれを開くように誘導したり、細工したWebページをInternet Explorer（IE）で開くように誘導したりすることなどで実行される。アドウェアやスパイウェアのインストールなどに悪用される懸念がある脆弱性である。

　攻撃が実行されるには、インタラクティブ・トレーニング用のコンポーネントがインストールされていることが条件となる。これはWindows OS標準のコンポーネントではないが、市販のPCにはこれがプレインストールされていることが多い。MS07-005の脆弱性が悪用された場合、インタラクティブ・トレーニングがインストールされている環境では、WebページをIEで表示するだけで攻撃が実行されてしまうため危険性が高い。

　マイクロソフトによれば、MS07-005の脆弱性は非公開で報告されたとしており、攻撃例は確認されていないという。前述のようにインタラクティブ・トレーニングがインストールされている場合は、非常に危険なので、早期に修正プログラムを適用した方がよい。

　インタラクティブ・トレーニングは、対話型トレーニング・タイトルのエンジンとして、Microsoft Pressのほか多くのベンダに提供されている。PCベンダの中には、インタラクティブ・トレーニングを使って、起動時にユーザー登録の方法や使い方などを案内するなどのコンテンツとして提供しているところもある。

　インタラクティブ・トレーニングがブックマーク・リンク・ファイルを処理する過程に未チェック・バッファが存在する。インタラクティブ・トレーニングのブックマーク・リンク・ファイルは、トピック表示に必要な情報が含まれたテキスト・ファイルとなっており、典型的なブックマーク・リンク・ファイルは以下のような形式になっている。

　この情報のうち、Syllabusフィールドに非常に長い文字列を含めると、バッファ・オーバフローが発生する。

■適用テストの結果
　DA Labでは、以下のプラットフォームで修正プログラムの適用テストを行った。

■MBSA 2.0の結果
　MS07-005の修正プログラムが正しく適用されているかどうかは、MBSA 2.0で確認可能である。未適用の場合は、「Windowsのセキュリティの更新プログラム」の「結果の詳細情報」に以下が表示される。

• Windows 用セキュリティ更新プログラム (KB923723)

■インタラクティブ・トレーニングのブックマークが機能しなくなる不具合
　MS07-005の修正プログラムによる仕様変更により、適用前にインタラクティブ・トレーニングのソフトウェアで作成したブックマークのリンクが機能しなくなる可能性がある。リンクが機能しない場合は、改めてリンクを作成する必要があるので注意が必要だ。

　また修正プログラムを適用すると、作成したブックマーク・リンク・ファイル（ブックマークで［ショートカットの作成］または［送信］で作成したもの）をクリックしても、コンテンツのブックマーク部分を開けなくなる。ブックマーク機能が、インタラクティブ・トレーニングのユーザー・インターフェイス内でしか機能しなくなるので注意が必要だ。

■インタラクティブ・トレーニングがインストールされていない環境には適用不要
　インタラクティブ・トレーニングは、デフォルトではWindows OSにインストールされていない。インストールされていなければ、今回の修正は適用不要だ。しかし市販のPCでは、PCベンダなどによりプレインストールされていることが多い。またMicrosoft PressのCD-ROMコンテンツなどによっても、インタラクティブ・トレーニングがインストールされることがある。

　インタラクティブ・トレーニングがインストールされているかどうかは、ハードディスク内で「lrun32.exe」「mrun32.exe」「orun32.exe」というファイルを検索すればよい。いずれかが見つかれば、インタラクティブ・トレーニングがインストールされているので、修正プログラムの適用が必要になる。

　インタラクティブ・トレーニングがインストールされていなければ、自動更新／Windows Update／Microsoft Updateでも、MS07-005の修正プログラムは表示されない。

■Windows Updateで異なる言語版の修正プログラムが適用される可能性がある
　Windows OSに、異なる言語版のインタラクティブ・トレーニングをインストールしている場合、Windows Updateでは英語版の修正プログラムが適用される可能性がある。例えば、フランス版Windows OSに、日本語版のインタラクティブ・トレーニングをインストールしている場合、Windows Updateでは英語版の修正プログラムが適用されてしまう。その結果、日本語のメニューなどが表示されなくなる可能性がある。Windows OSとは異なる言語版のインタラクティブ・トレーニングをインストールしている場合は、ダウンロード・センターから修正プログラムを入手し、手動で適用した方がよい。

　修正プログラムが正しく適用できたかどうかは、以下のレジストリ・キーにある値を調べることで確認できる。

・Windows 2000 SP4、Windows XP SP2、Windows Server 2003 SP未適用／SP1／R2：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Step By Step Interactive Training\SP2\KB923723\Filelist以下のファイル一覧を確認する

・Windows 2000 SP4、Windows XP SP2、Windows Server 2003 SP未適用／SP1／R2：
［展開ビュー］−［Media］タブに「名前：StepByStepIntTraining-KB923723-x86-JPN.exe」で登録