WordがWordファイルを解析する過程に脆弱性が存在する。細工されたWordファイルを開くと、任意のコードが実行される危険性がある。

　攻撃としては、細工したWordファイルをWebページ上に置くか、電子メールの添付ファイルとして送信し、それをユーザーに開かせるように誘導する方法が考えられる。Internet Explorer（IE）＋Word 2000の環境では、警告ダイアログなどは表示されずにWordファイルがIEのブラウザ・ウィンドウ内で直接表示されるため、細工されたWordファイルへのリンクをクリックするだけで、攻撃が実行されてしまう（Word 2002／2003では、［ファイルのダウンロード］ダイアログが表示される）。

　この脆弱性は、特定の企業や団体をターゲットにした電子メール添付型ウイルスに悪用される危険性が高い。またWebページによる攻撃では、スパイウェアやトロイの木馬のインストールに悪用される懸念もある。

　マイクロソフトによれば、MS08-009の脆弱性は非公開で報告されたとしており、現時点では実証コードや攻撃例は確認されていないという。ただし脆弱性の内容が公開されたことから、実証コードが開発され、攻撃に悪用されることが懸念される。至急、修正プログラムを適用した方がよい。

　WordがWordファイルを解析する際に、メモリの計算エラーを引き起こす脆弱性が存在する。細工されたWordファイルを開くと、メモリ破損が起こり、その結果、任意のコードが実行される危険性がある。

　なおOffice 2003 SP3適用済みのWord 2003とWord Viewer 2003 SP3、Word 2007は、MS08-009の脆弱性の影響を受けない。

■適用テストの結果
　DA Labでは、以下のプラットフォームで修正プログラムの適用テストを行った。

■MBSA 2.0の結果
　MS08-009のWord 2002／2003、Word Viewer 2003向け修正プログラムが正しく適用されているかどうかは、MBSA 2.0.1で確認可能だ。未適用の場合は、「Officeのセキュリティの更新プログラム」の「結果の詳細情報」に以下のいずれかが表示される。Word 2000は、MSBA 2.0.1でサポートされておらず、適用状態の確認はできない。

• Word 2002 セキュリティ更新プログラム: KB943957
• Microsoft Office Word 2003 セキュリティ更新プログラム: KB943983
• Word Viewer 2003 セキュリティ更新プログラム: KB943992

■Microsoft UpdateはOffice 2003 SP3に対しても修正プログラムの適用を促す
　 MS08-009の脆弱性は、Office 2003 SP3を適用済みのWord 2003では影響を受けない。しかしMicrosoft UpdateはOffice 2003 SP3済みであっても、MS08-009の修正プログラムの適用を促すようになっている。TechNetセキュリティ情報によれば、修正プログラムで提供されるファイル（WINWORD.EXE）が、Office 2003 SP3で提供されたものよりも新しいバージョン番号であるため、適用が促されるということだ。脆弱性の影響を受けないため、すぐに適用する必要はない。ただし新しいバージョン番号のファイルは、安定性が向上しているとのことなので、なるべく早期に適用しておくとよい。

■Word 2000向けはOffice Updateで提供
　 MS08-009のWord 2000向けの修正プログラムは、ダウンロード・センターとOffice Updateで提供されている。Microsoft UpdateはOffice 2000に対応していないため、MS08-009のWord 2000向けの修正プログラムは表示されないので注意が必要だ（自動更新でも適用されない）。ダウンロード・センターで修正プログラムを入手して手動で適用を行うか、Office Updateを実行する必要がある。

　なおWord 2002／2003、Word Viewer 2003向けの修正プログラムは、Microsoft Updateで提供されるため、ほかのセキュリティ修正プログラムとともに選択・適用が可能だ。

■修正プログラムのアンインストールに必要な条件
　 Word 2002／2003、Word Viewer 2003向けの修正プログラムは、以下の条件を満たせばアンインストール可能である。Word 2000向けの修正プログラムはアンインストールできないので適用前に十分な検証を行った方がよい。

• OSがWindows XP SP2またはWindows Server 2003 SP1／R2／SP2
• Windows Installer 3.0以降をインストールした後で修正プログラムを適用
• OfficeのインストールCDにアクセス可能

■適用可能なWord Viewer 2003のバージョン
　 2008年2月13日時点で配布されている最新のWord Viewer 2003（Word文書の表示のみが可能な無償提供のビューア）は、バージョン11.0.6506.0である。DA Labでは、これに対してMS08-009のWord Viewer 2003向け修正プログラムを適用できることを確認した。これより古いバージョンでは適用できない可能性もある。もし適用に失敗した場合は、最新版のWord Viewer 2003を以下のページからダウンロードしてインストールしてから、あらためてMS08-009の修正プログラムを適用すればよい。

・ダウンロード・センター（Word Viewer 2003）：
http://www.microsoft.com/downloads/details.aspx?
FamilyID=95e24c87-8732-48d5-8689-ab826e7b8fdf&DisplayLang=ja

　MS08-009の修正プログラムを適用すると、Word Viewer 2003のバージョンは11.0.8202.0に上がる。

　修正プログラムが正しく適用できたかどうかは、WINWORD.EXE／WORDVIEW.EXEのファイルのバージョンをプロパティで調べることで確認できる。

・Word 2000（Office 2000 SP3）：
［展開ビュー］−［Office］タブに「名前：office2000-KB943990-FullFile-JPN.exe」で登録

・Word 2002（Office XP SP3）：
［展開ビュー］−［Office］タブに「名前：officexp-KB943957-FullFile-JPN.exe」で登録

・Word 2003（Office 2003 SP2）：
［展開ビュー］−［Office］タブに「名前：office2003-KB943983-FullFile-JPN.exe」で登録

・Word Viewer 2003：
UpdateEXPERTのサポート対象外