OLE（Object linking and embedding）オートメーションの処理過程にメモリ破損の脆弱性が存在し、細工されたスクリプト・リクエストを受け取ると、任意のコードが実行される危険性がある。攻撃は、細工されたWebページを開くように誘導することで実行される可能性が高い。Webページを開くと、ほかのユーザーの操作なしに任意のコードが実行される危険性がある。アドウェアやトロイの木馬のインストールに悪用されることが懸念される。

　マイクロソフトによれば、MS07-043の脆弱性は非公開で報告されたとしており、現時点では実証コードや攻撃例は確認されていないという。しかし修正プログラムがリリースされたことから、脆弱性を発見したthe Zero Day Initiative（ZDI）が、この脆弱性に関するレポートを公開した。レポートには、攻撃コード作成のヒントになる情報も含まれており、攻撃コードが作成される可能性が高まっている。至急、修正プログラムを適用した方がよい。

・the Zero Day Initiative（Microsoft Internet Explorer substringData() Heap Overflow Vulnerability）：
http://www.zerodayinitiative.com/advisories/ZDI-07-048.html

　OLEオートメーションとは、Windowsの標準プロトコルの1つで、アプリケーション同士でデータを共有したり、別のアプリケーションを制御したりすることを可能にするものである。

　そのOLEオートメーションが、JavaScriptによるリクエストを処理する過程に脆弱性が存在する。細工されたJavaScriptによるリクエストを受け取ると、メモリ破損が起こり、その結果、任意のコードが実行されてしまう。

　Visual Basic 6.0で開発されたアプリケーションでは、脆弱性の原因となっているoleaut32.dllが含まれている場合がある。Visual Basic 6.0でアプリケーションを開発している場合は、そのアプリケーションにoleaut32.dllが含まれているかどうかを確認した方がよい。含まれている場合は、脆弱性を解消したMS07-043の修正プログラムに含まれるoleaut32.dllに置き換える必要がある。

　またMS07-043は、脆弱性の対象となるコンポーネントは異なるものの、攻撃手法や脆弱性の内容はMS04-042と類似したものである。そのためMS07-042とMS07-043の脆弱性は、同時に悪用されることも懸念される。MS07-042とMS07-043の修正プログラムは、両方同時に適用しておいた方がよい。

■適用テストの結果
　DA Labでは、以下のプラットフォームで修正プログラムの適用テストを行った。

■MBSA 2.0.1の結果
　Visual Basic 6.0 SP6を除き、MS07-043の修正プログラムが正しく適用されているかどうかは、MBSA 2.0.1で確認できる。未適用の場合は、「Windowsのセキュリティの更新プログラム」の「結果の詳細情報」に以下のいずれかが表示される。Visual Basic 6.0 SP6は、MBSA 2.0.1のサポート対象外のため確認できない。

• Windows 2000 用セキュリティ更新プログラム (KB921503)
• Windows XP 用セキュリティ更新プログラム (KB921503)
• Windows Server 2003 用セキュリティ更新プログラム (KB921503)

■Visual Basic 6.0 SP6では再配布用oleaut32.dllがOS依存に変更
　Visual Basic 6.0 SP6向けのMS07-043の修正プログラムを適用すると、再配布可能なoleaut32.dllが置かれるフォルダが変更される。これまで再配布可能なoleaut32.dllは、以下のフォルダにすべてのOSに対応したバージョンが保存されていた。

　しかしMS07-043の修正プログラムを適用すると、古いoleaut32.dllが削除され、各OSに対応したoleaut32.dllが上記のフォルダの下に新たにOSごとのフォルダが作成されて保存される。ソフトウェア・ベンダは、oleaut32.dllを含むソフトウェア・パッケージを作成する場合、インストールの際にOSを確認した上で、そのOSに対応したoleaut32.dllをインストールするように仕様を変更する必要もある。

　MS07-043の修正プログラム適用前の古いoleaut32.dllには脆弱性が存在する。そのため、そのoleaut32.dllを利用したソフトウェア・パッケージを配布すると、脆弱性を広めてしまうことにもなりかねない。oleaut32.dllを含むソフトウェア・パッケージを作成している場合は、各OSに対応したoleaut32.dllをインストールするように仕様を変更した方がよい。

・サポート技術情報 924053（MS07-043: Description of security update for the Visual Basic 6.0 redistributable）：
http://support.microsoft.com/default.aspx?scid=kb;ja;924053

■Visual Basic 6.0 SP6向け修正プログラムにWindows Server 2003 SP2向けが含まれていない
　Visual Basic 6.0 SP6向けのMS07-043の修正プログラムは、再配布版のoleaut32.dllを各OSに対応したものに置き換える。しかし、修正プログラムのパッケージ自体が古いためか、2007年3月に日本語版が公開されたWindows Server 2003 SP2向けのoleaut32.dllが含まれていない。Windows Server 2003向けのMS07-043の修正プログラムでは、Windows Server 2003のSP1とSP2でファイル・バージョンの異なるファイルを適用することから、Windows Server 2003 SP1向けの再配布版oleaut32.dllをSP2向けに流用するのは避けた方がよさそうだ。

　Visual Basic 6.0 SP6向けのMS07-043の修正プログラムで置き換えるoleaut32.dllは、各OS向けのMS07-043の修正プログラムで置き換えるoleaut32.dllよりもバージョン番号が低く、日付も古い。再配布版を利用せずに、OSに付属のoleaut32.dllを利用するようにソフトウェアの設計を変更した方がよいかもしれない。

■古いoleaut32.dllを含むVisual Basic 6.0アプリケーションをインストールすると脆弱性が復活する可能性
　oleaut32.dllは、OSに標準で含まれているほか、Visual Basic 6.0に添付されている再配布版がアプリケーションとともにインストールされることもある。そのため、古いoleaut32.dllを含むVisual Basic 6.0アプリケーションをインストールすると、oleaut32.dllが上書きされてしまい、脆弱性が復活する可能性がある。古いVisual Basic 6.0アプリケーションをインストールした際は、oleaut32.dllのバージョンを確認した方がよい。

■Visual Basic 6.0向けのMS07-043の修正プログラムは手動適用
　Visual Basic 6.0向けのMS07-043の修正プログラムはWindows Update／Microsoft Update／自動更新には対応していない。ダウンロード・センターからインストール・パッケージをダウンロードし、手動で適用する必要がある。

　修正プログラムが正しく適用できたかどうかは、以下のレジストリ・キーにある値を調べることで確認できる。

・Windows 2000 SP4：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows 2000\SP5\KB921503\Filelist以下のファイル一覧を確認する

・Windows XP SP2：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows XP\SP3\KB921503\Filelist以下のファイル一覧を確認する

・Windows Server 2003 SP1／R2／SP2：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows Server 2003\SP3\KB921503\Filelist以下のファイル一覧を確認する

・Visual Basic 6.0 SP6：
置き換わるファイルのバージョンをプロパティで調べることで確認する

・Windows 2000 SP4：
［展開ビュー］−［OS］タブに「名前：Windows2000-KB921503-x86-JPN.EXE」で登録

・Windows XP SP2：
［展開ビュー］−［OS］タブに「名前：WindowsXP-KB921503-x86-JPN.exe」で登録

・Windows Server 2003 SP1／R2／SP2：
［展開ビュー］−［OS］タブに「名前：WindowsServer2003-KB921503-x86-JPN.exe」で登録

・Visual Basic 6.0 SP6：
UpdateEXPERTのサポート対象外