OLE（Object linking and embedding）オートメーションの処理過程にヒープ・オーバーフローの脆弱性が存在し、細工されたスクリプト・リクエストを受け取ると、任意のコードが実行される危険性がある。攻撃は、細工されたWebページを開くように誘導することで実行される可能性が高い。Webページを開くと、ほかのユーザーの操作なしに任意のコードが実行される危険性がある。アドウェアやトロイの木馬のインストールに悪用されることが懸念される。

　マイクロソフトによれば、MS08-008の脆弱性は非公開で報告されたとしており、現時点では実証コードや攻撃例は確認されていないという。ただし脆弱性の内容が公開されたことから、実証コードが開発され、攻撃に悪用されることが懸念される。至急、修正プログラムを適用した方がよい。

　OLEオートメーションとは、Windowsの標準プロトコルの1つで、アプリケーションがデータを共有したり、別のアプリケーションを制御したりすることを可能にするものである。

　そのOLEオートメーションが、JavaScriptやVBScriptによるリクエストを処理する過程に脆弱性が存在する。細工されたJavaScriptやVBScriptによるリクエストを受け取ると、ヒープ・オーバーフローが起こり、任意のコードが実行されてしまう。細工されたWebページを開くだけで、攻撃が実行されてしまう危険性があるので注意が必要だ。

　Visual Basic 6.0で開発されたアプリケーションでは、脆弱性の原因となっているoleaut32.dllが含まれている場合がある。Visual Basic 6.0でアプリケーションを開発している場合は、そのアプリケーションにoleaut32.dllが含まれているかどうかを確認した方がよい。含まれている場合は、脆弱性を解消したMS08-008の修正プログラムに含まれるoleaut32.dllに置き換える必要がある。

■適用テストの結果
　DA Labでは、以下のプラットフォームで修正プログラムの適用テストを行った。

■MBSA 2.0.1の結果
　Visual Basic 6.0 SP6を除き、MS08-008の修正プログラムが正しく適用されているかどうかは、MBSA 2.0.1で確認可能である。未適用の場合は、「Windowsのセキュリティの更新プログラム」の「結果の詳細情報」に以下のいずれかが表示される。なおVisual Basic 6.0 SP6は、MBSA 2.0.1のサポート対象外のため確認できない。

• Windows 2000 用セキュリティ更新プログラム (KB943055)
• Windows XP 用セキュリティ更新プログラム (KB943055)
• Windows Server 2003 用セキュリティ更新プログラム (KB943055)
• Windows Vista 用セキュリティ更新プログラム (KB943055)

■Visual Basic 6.0 SP6では再配布用oleaut32.dllがOS依存に変更
　Visual Basic 6.0 SP6向けのMS08-008の修正プログラムを適用すると、再配布可能なoleaut32.dllが置かれるフォルダが変更される。これまで再配布可能なoleaut32.dllは、以下のフォルダにすべてのOSに対応したバージョンが保存されていた。

　しかしMS08-008の修正プログラムを適用すると、MS07-043と同様、古いoleaut32.dllが削除された後、上記のフォルダ以下にOSごとのサブ・フォルダが新たに作成され、各OSに対応したoleaut32.dllが各サブ・フォルダに保存される。ソフトウェア・ベンダは、oleaut32.dllを含むソフトウェア・パッケージを作成する場合、インストールの際にOSを確認した上で、そのOSに対応したoleaut32.dllをインストールするように仕様を変更する必要もある。

■古いoleaut32.dllを含むVisual Basic 6.0アプリケーションをインストールすると脆弱性が復活する可能性
　oleaut32.dllは、OSに標準で含まれているほか、Visual Basic 6.0に添付されている再配布版がアプリケーションとともにインストールされることもある。そのため、古いoleaut32.dllを含むVisual Basic 6.0アプリケーションをインストールすると、oleaut32.dllが上書きされてしまい、脆弱性が復活する可能性がある。古いVisual Basic 6.0アプリケーションをインストールした際は、oleaut32.dllのバージョンを確認した方がよい。

■Visual Basic 6.0向けのMS08-008の修正プログラムは手動適用
　Visual Basic 6.0向けのMS08-008の修正プログラムはWindows Update／Microsoft Update／自動更新には対応していない。ダウンロード・センターからインストール・パッケージをダウンロードし、手動で適用する必要がある。

　修正プログラムが正しく適用できたかどうかは、以下のレジストリ・キーにある値を調べることで確認できる。

・Windows 2000 SP4：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows 2000\SP5\KB943055\Filelist以下のファイル一覧を確認する

・Windows XP SP2：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows XP\SP3\KB943055\Filelist以下のファイル一覧を確認する

・Windows Server 2003 SP1／R2／SP2：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows Server 2003\SP3\KB943055\Filelist以下のファイル一覧を確認する

・Windows Vista：
置き換わるファイルのバージョンで確認する

・Visual Basic 6.0 SP6：
置き換わるファイルのバージョンで確認する

・Windows 2000 SP4：
［展開ビュー］－［OS］タブに「名前：Windows2000-KB943055-x86-JPN.EXE」で登録

・Windows XP SP2：
［展開ビュー］－［OS］タブに「名前：WindowsXP-KB943055-x86-JPN.exe」で登録

・Windows Server 2003 SP1／R2／SP2：
［展開ビュー］－［OS］タブに「名前：WindowsServer2003-KB943055-x86-JPN.exe」で登録

・Windows Vista：
現在のところサポート対象外

・Visual Basic 6.0 SP6：
UpdateEXPERTのサポート対象外