MDACで配布されているADODB.Connection ActiveXコントロールに脆弱性が存在し、リモートで任意のコードが実行される危険性がある。ADODB.Connection ActiveXコントロールは、ActiveXデータ・オブジェクト（ADO）の一部として提供されているものだ。

　Webページや電子メールに記載された細工済みのWebページへのリンクをクリックすると、任意のコードが実行されてしまう。アドウェアやスパイウェアのインストールなどへの悪用が懸念される脆弱性である。

　MS07-009の脆弱性はすでにInternet Explorer（IE）が異常終了する実証コードが公開されている（任意のコードが実行可能なものではない）。現時点では、攻撃例は確認されていないということだが、危険性が高まっている。至急、修正プログラムを適用した方がよい。

　MS07-009の脆弱性は、2006/11/01日付け配信のHotFix Weeklyで報告済みの「ActiveXコントロール「ADODB.Connection」にサービス拒否を引き起こす脆弱性」を解消するものだ。脆弱性が公開された時点では、サービス拒否を引き起こすものとされていたが、その後の調査によりコードの実行が可能であることが判明している。

　ActiveXコントロール「ADODB.Connection」のExecute()関数にメモリ破損の脆弱性が存在する。ADODB.Connectionとは、データベースへの接続を確保する際に利用されるものだ。Internet Explorer（IE）で、ADODB.Connection ActiveXコントロールのExecute()関数に対して不正な値が設定されたWebページを開くと、任意のコードが実行される危険性がある。

■適用テストの結果
　DA Labでは、以下のプラットフォームで修正プログラムの適用テストを行った。

■MBSA 2.0の結果
　MS07-009の修正プログラムが正しく適用されているかどうかは、MBSA 2.0で確認可能だ。未適用の場合は、「Windowsのセキュリティの更新」の「結果の詳細情報」に、インストールされているMDACのバージョンによって以下が表示される。

• Microsoft Data Access Components 2.5 Service Pack 3 用セキュリティ更新プログラム (KB927779)
• Microsoft Data Access Components 2.7 Service Pack 1 用セキュリティ更新プログラム (KB927779)
• Microsoft Data Access Components 2.8 用セキュリティ更新プログラム (KB927779)
• Microsoft Data Access Components 2.8 Service Pack 1 用セキュリティ更新プログラム (KB927779)
• Windows XP 用セキュリティ更新プログラム (KB927779)
• Windows Server 2003 用セキュリティ更新プログラム (KB927779)

■インストールされているMDACのバージョンを確認する方法
　MDACは、Windows OSにデフォルトでインストールされているほか、サービスパックやアプリケーションなどに同梱されているため、Windows OSのデフォルトとは異なるバージョンがインストールされている可能性がある。MS07-009の修正プログラムを手動（自動更新やMicrosoft Updateを利用しない）でインストールする場合、MDAC のバージョンにあわせて修正プログラムを選択する必要がある。つまり、システムにインストールされているMADCのバージョンを調べなければならない。

　詳細は、「サポート技術情報：301202」を参照していただきたい。

・サポート技術情報 301202（MDAC のバージョンを確認する方法）：
http://support.microsoft.com/default.aspx?scid=kb;ja;301202

　最も簡単なのは、ダウンロード・センターからComponent Checker（cc_pkg.exe）をダウンロードし、調査対象のコンピュータにインストールして実行することだ。システムのチェック後にMADCのバージョンが表示されるはずだ。

・ダウンロード・センター（MDAC Utility: Component Checker）：
http://www.microsoft.com/downloads/details.aspx?
FamilyId=8F0A8DF6-4A21-4B43-BF53-14332EF092C9&displaylang=en
＃英語版のツールだが、日本語Windows OSでも利用可能

　MS07-009の修正プログラムは、OSと上記の方法で表示されたMDACのバージョンに合わせたものを適用すればよい。例えば、Windows 2000 SP4で、Component Checkerの表示がMDAC 2.8 RTMならば、Windows 2000 SP4＋MDAC 2.8向けの修正プログラムを適用する。以下に、各Windows OSおよびMDACのバージョン、MS07-009の修正プログラムとの対応をまとめた。

■Windows 2000ではMDACのバージョンによって修正プログラムが適用できないことがある
　Windows 2000 SP4で利用できるMDACのうちMDAC 2.6／2.6 SP1／2.6 SP2／2.7については、すでにサポートの対象外であるため、マイクロソフトはMS07-009の修正プログラムを提供していない。また、これらのバージョンがMS07-009の脆弱性の影響を受けるかどうかについても明らかにしていない。現時点のサポート対象となっているすべてのMDACに脆弱性が存在していることから、サポート対象外のMDACについても「脆弱性が存在する」と判断したほうがよい。MDACのバージョンがこれらに該当する場合は、MDACを利用する業務アプリケーションなどとの互換性を確認しつつ、速やかにMDAC 2.7 SP1／2.8 RTM／2.8 SP1のいずれかにアップグレードすべきだ（最新版であるMDAC 2.8 SP1にアップグレードすることが望ましい）。

■Windows 2000でMDACをアップグレードする方法
　MDACはWindows Update／Microsoft Update／WSUSなどマイクロソフトの更新サービスではアップグレードできない。以下のダウンロード・センターのページからインストーラを入手して、各コンピュータで実行する必要がある。

・ダウンロード・センター（MDAC 2.7 SP1 Refresh）：
http://www.microsoft.com/downloads/details.aspx?
FamilyID=9ad000f2-cae7-493d-b0f3-ae36c570ade8&DisplayLang=ja

・ダウンロード・センター（MDAC 2.8）：
http://www.microsoft.com/downloads/details.aspx?
FamilyID=6c050fe3-c795-4b7d-b037-185d0506396c&DisplayLang=ja

・ダウンロード・センター（MDAC 2.8 SP1）：
http://www.microsoft.com/downloads/details.aspx?
FamilyID=78cac895-efc2-4f8e-a9e0-3a1afbd5922e&DisplayLang=ja

　インストールを完了させるためには、システムを再起動してから管理者権限で再ログオンする必要がある。

　修正プログラムが正しく適用できたかどうかは、以下のレジストリ・キーにある値を調べることで確認できる。

・MDAC 2.5 SP3（Windows 2000 SP4）：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\DataAccess\MDAC25\SP3\KB927779\Filelist以下のファイル一覧を確認する

・MDAC 2.7 SP1（Windows 2000 SP4）：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\DataAccess\MDAC27\SP1\KB927779\Filelist以下のファイル一覧を確認する

・MDAC 2.8（Windows 2000 SP4）：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\DataAccess\MDAC28\SP0\KB927779\Filelist以下のファイル一覧を確認する

・MDAC 2.8 SP1（Windows 2000 SP4）：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\DataAccess\MDAC28\SP1\KB927779\Filelist以下のファイル一覧を確認する

・MDAC 2.8 SP1（Windows XP SP2）：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows XP\SP3\KB927779\Filelist以下のファイル一覧を確認する

・MDAC 2.8（Windows Server 2003 SP未適用）：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows Server 2003\SP1\KB927779\Filelist以下のファイル一覧を確認する

　何らかの理由で直ちに修正プログラムを適用できない場合には、以下に示す方法で回避が可能だ。ただしこの回避策は、脆弱性を根本的に解決するものではない。

■ADODB.Connection ActiveXコントロールにkillbitを設定する
　ADODB.Connection ActiveXコントロールに割り当てられたCLSIDに対してkillbitを設定することで脆弱性の回避が可能だ。killbitを設定する方法は、「セキュリティTIPS：Internet ExplorerでActiveXコントロールの実行を個別に禁止する方法」を参照してほしい。ただし、この回避策を実行すると、ADODB.Connection ActiveXコントロールを使用するWebサイトが、正しく表示／機能しなくなるので注意が必要だ。

・セキュリティTIPS（Internet ExplorerでActiveXコントロールの実行を個別に禁止する方法）：
http://www.hotfix.jp/archives/tips/2005/tips05-04.html

・Windows 2000 SP4＋MDAC 2.5 SP3：
［展開ビュー］−［MDAC］タブに「名前：MDAC253-KB927779-x86-JPN.exe」で登録

・Windows 2000 SP4＋MDAC 2.7 SP1：
［展開ビュー］−［MDAC］タブに「名前：MDAC271-KB927779-x86-JPN.exe」で登録

・Windows 2000 SP4＋MDAC 2.8：
［展開ビュー］−［MDAC］タブに「名前：MDAC28-KB927779-x86-JPN.exe」で登録

・Windows 2000 SP4＋MDAC 2.8 SP1：
［展開ビュー］−［MDAC］タブに「名前：MDAC281-KB927779-x86-JPN.exe」で登録

・Windows XP SP2＋MDAC 2.8 SP1：
［展開ビュー］−［MDAC］タブに「名前：WindowsXP-KB927779-x86-JPN.exe」で登録

・Windows Server 2003 SP未適用＋MDAC 2.8：
［展開ビュー］−［MDAC］タブに「名前：WindowsServer2003-KB927779-x86-JPN.exe」で登録