Windowsシェルに、URIの検証処理が不十分なことに起因する脆弱性が存在する。細工されたURIを受け取ると、任意のコードが実行される危険性がある。

　攻撃は、Webページの細工したリンクをクリックさせたり、細工した電子メールを開かせたりするように誘導することで実行される。アドウェアやトロイの木馬のインストール、電子メール添付型のウイルスなどに悪用されることが懸念される脆弱性である。

　直接脆弱性の影響を受けるのは、Internet Explorer（IE） 7がインストールされたWindows XP SP2とWindows Server 2003 SP1／R2／SP2である。IE 7をインストールしていない場合は、現時点では脆弱性を悪用する方法は報告されていない。なおWindows 2000とWindows Vistaは脆弱性の影響を受けない。

　「http:」や「https:」などといったURI（Uniform Resource Identifier）が十分に検証されずにWindowsシェルに引き渡されることで、任意のコードが実行される危険性がある。MS07-061の修正プログラムでは、URIの受け側であるWindowsシェルを修正することで、脆弱性の解消を図っている。

　脆弱性は、Windows XP SP2、Windows Server 2003 SP1／R2／SP2において、IE 7がインストールされるとWindowsコンポーネントが更新され、URIの処理方法が変更されることに起因する。この変更にともない、FirefoxやAcrobat Readerなどによって正しく検証されていないURIがWindowsシェルに引き渡され、その結果、URIに含まれる任意のコードやコマンドが実行されてしまう。

・HotFix Weekly 2007/08/01日付け（Internet Explorer 7などのURI処理にコード実行の脆弱性）：
http://www.hotfix.jp/archives/alert/2007/news07-0801.html#01

・HotFix Weekly 2007/10/17日付け（Windows XP／Windows Server 2003＋Internet Explorer 7におけるURL処理の脆弱性により、任意のコードが実行される危険性）：
http://www.hotfix.jp/archives/alert/2007/news07-1017.html#01

■適用テストの結果
　DA Labでは、以下のプラットフォームで修正プログラムの適用テストを行った。

■MBSA 2.0の結果
　MS07-061の修正プログラムが正しく適用されているかどうかは、MBSA 2.0.1で確認可能だ。未適用の場合は、「Windowsのセキュリティの更新」の「結果の詳細情報」に以下のいずれかが表示される。

• Windows XP 用セキュリティ更新プログラム (KB943460)
• Windows Server 2003 用セキュリティ更新プログラム (KB943460)

■IE 7をインストールしていない環境にも適用の必要あり
　MS07-061の修正プログラムは、IE 7をインストールしたWindows XP SP2、Windows Server 2003 SP1／R2／SP2に存在する脆弱性を解消するものである。しかしマイクロソフトによれば、この脆弱性はOS本体に含まれるshell32.dllに存在するとしており、IE 7がインストールされていないWindows XP SP2、Windows Server 2003 SP1／R2／SP2も修正プログラムの適用対象となっている。

　現時点では、IE 7がインストールされていないWindows XP SP2、Windows Server 2003 SP1／R2／SP2に対しては脆弱性を悪用する方法が見つかっていないため、危険性はそれほど高くない。しかし脆弱性の存在が明らかになったことから、攻撃手法が開発されることが懸念される。IE 7をインストールしていない場合でも、早期に修正プログラムを適用した方がよい。

■攻撃に悪用されるアプリケーションに対する修正プログラムも適用した方がよい
　MS07-061の脆弱性については、攻撃の入り口（URIを引き渡す側）として悪用可能なFirefoxやAcrobat Readerに対して、すでに修正プログラムまたは更新版が公開されている。MS07-061の修正プログラムを適用することで、これら入り口となるアプリケーションへの対処は不要になるが、安全性を高める意味で、これらのアプリケーションも更新した方がよい。

・HotFix Weekly 2007/08/01日付け（URI処理の脆弱性を解消したFirefox 2.0.0.6の提供を開始）：
http://www.hotfix.jp/archives/alert/2007/news07-0801.html#02
＃現時点でFirefoxの最新版は2.0.0.9

・アドビシステムズ（Adobe Reader 8.1.1 アップデート - 全言語対応版）：
http://www.adobe.com/jp/support/downloads/3806.html

　修正プログラムが正しく適用できたかどうかは、以下のレジストリ・キーにある値を調べることで確認できる。

・Windows XP SP2：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows XP\SP3\KB943460\Filelist以下のファイル一覧を確認する

・Windows Server 2003 SP1／R2／SP2：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows Server 2003\SP3\KB943460\Filelist以下のファイル一覧を確認する

・Windows XP SP2：
［展開ビュー］−［OS］タブに「名前：WindowsXP-KB943460-x86-JPN.exe」で登録

・Windows Server 2003 SP1／R2／SP2：
［展開ビュー］−［OS］タブに「名前：WindowsServer2003-KB943460-x86-JPN.exe」で登録