Outlook Express／Windowsメールがネットワーク・ニュース転送プロトコル（NNTP）のレスポンスを処理する過程に脆弱性が存在する。細工されたWebページをIEで開くと、任意のコードが実行される危険性がある。アドウェアやトロイの木馬のインストールなどに悪用されることが懸念される。

　マイクロソフトによれば、MS07-056の脆弱性は非公開で報告されたとしており、現時点で実証コードや攻撃例は確認されていないという。ただし脆弱性が公開されたことから、悪用の危険性が高まることが予想される。至急、修正プログラムを適用した方がよい。

　インターネット・ニュースを読み書きするためのプロトコルであるNNTPのレスポンスを処理する過程にヒープ・オーバーフローの脆弱性が存在する。IEでは、インターネット・ニュース（ニュース・グループ）を開くためのプログラムとしてデフォルトでOutlook ExpressまたはWindowsメールが設定されている。そのため、「nntp」「news」「snews」といったインターネット・ニュースを開くためのプロトコル・ハンドラを用いて細工されたWebページを開くと、Outlook Express／Windowsメールが自動的に呼び出され、脆弱性が悪用されることになる。

　なおコントロール・パネルの［インターネット オプション］−［プログラム］タブのニュースグループをOutlook Express／Windowsメール以外に設定し、インターネット・ニュースの閲覧にほかのソフトウェアを利用すれば、この脆弱性を回避可能だ。

■適用テストの結果
　DA Labでは、以下のプラットフォームで修正プログラムの適用テストを行った。

■MBSA 2.0.1の結果
　MS07-056の修正プログラムが正しく適用されているかどうかは、MBSA 2.0.1で確認可能だ。未適用の場合は、「Windowsのセキュリティの更新」の「結果の詳細情報」に、Windows OSによって以下のいずれかが表示される。

• Outlook Express 5.5 Service Pack 2 用セキュリティ更新プログラム (KB941202)
• Outlook Express 6 Service Pack 1 用セキュリティ更新プログラム (KB941202)
• Windows XP 用 Outlook Express のセキュリティ更新プログラム (KB941202)
• Windows Server 2003 用 Outlook Express のセキュリティ更新プログラム (KB941202)
• Windows Vista 用 Windows メールのセキュリティ更新プログラム (KB941202)

■Outlook Expressのバージョンに関する注意点
　 MS07-056では、Windows OSおよびOutlook Expressのバージョンによって、以下のように異なる修正プログラムが提供されている。

　Outlook ExpressはInternet Explorer（IE）と一緒にインストールされるが、そのバージョンはIEと連動しないことがある。特にWindows 2000 SP4では、IEのバージョンが5.01 SP4／5.5 SP0／5.5 SP1／5.5 SP2のいずれでも、Outlook Expressのバージョンは5.5 SP2となるため、分かりにくくなっている。またMS07-056のOutlook Express 5.5 SP2用修正プログラムの対象は、Windows 2000 SP4＋IE 5.01 SP4だけに限定されており、IE 5.5系がインストールされていると適用できない。この場合はIE 6 SP1に更新してから、Outlook Express 6 SP1用修正プログラムを適用する必要がある。

　またIE 7をインストールしてもOutlook Expressのバージョンは6のまま変わらない。つまりIE7がインストール済みであっても、MS07-056のOutlook Express 6用修正プログラムを適用する必要がある。

■MS07-056はOutlook Express／Windowsメールの累積的な修正プログラムではない
　 MS07-056のTechNetセキュリティ情報におけるタイトルは、「Outlook Express および Windows メール用の累積的なセキュリティ更新プログラム」となっている。実際、Windows 2000 SP4のOutlook Express 5.5 SP2向けとOutlook Express 6 SP1向けについては、MS06-076を包含している。そのため、MS07-056の適用により、MS06-076の適用が不要となる。

　しかしWindows XP SP2とWindows Server 2003 SP1／R2／SP2のOutlook 6向け、Windows VistaのWindowsメールでは、以前のOutlook Express／Windowsメールの累積的な修正プログラムであるMS06-076／MS07-034は含まれておらず、MS06-076／MS07-034の内容を置き換えるものとはなっていない（Windows 2000 SP4のOutlook Express 5.5 SP2とOutlook Express 6 SP1は、MS07-034の脆弱性の対象外であった）。

　Windows XP SP2、Windows Server 2003 SP1／R2／SP2、Windows Vistaに関しては、MS07-056とともに必ずMS07-034の修正プログラムを適用しないと、Outlook Express／Windowsメールの脆弱性が解消されないので注意した方がよい。

　修正プログラムが正しく適用できたかどうかは、以下のレジストリ・キーにある値を調べることで確認できる。

・Outlook Express 5.5 SP2（Windows 2000 SP4＋IE 5.01 SP4）：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Outlook Express 5.50\SP2\KB941202-OE55SP2-20070820.120000\Filelist以下のファイル一覧を確認する

・Outlook Express 6 SP1（Windows 2000 SP4）：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Outlook Express 6\SP1\KB941202-OE6SP1-20070820.120000\Filelist以下のファイル一覧を確認する

・Outlook Express 6（Windows XP SP2）：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows XP\SP3\KB941202\Filelist以下のファイル一覧を確認する

・Outlook Express 6（Windows Server 2003 SP1／R2／SP2）：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows Server 2003\SP3\KB941202\Filelist以下のファイル一覧を確認する

・Windowsメール（Windows Vista）：
置き換わるファイルのバージョンで確認する

・Outlook Express 5.5 SP2（Windows 2000 SP4＋IE 5.01 SP4）：
［展開ビュー］−［IE］タブに「名前：OE5.5sp2-KB941202-Windows2000-x86-JPN.exe」で登録

・Outlook Express 6 SP1（Windows 2000 SP4）：
［展開ビュー］−［IE］タブに「名前：OE6.0sp1-KB941202-Windows2000-x86-JPN.exe」で登録

・Outlook Express 6（Windows XP SP2）：
［展開ビュー］−［IE］タブに「名前：WindowsXP-KB941202-x86-JPN.exe」で登録

・Outlook Express 6（Windows Server 2003 SP1／R2／SP2）：
［展開ビュー］−［IE］タブに「名前：WindowsServer2003-KB941202-x86-JPN.exe」で登録

・Windowsメール（Windows Vista）：
現在のところサポート対象外