Excelがマクロに関する情報や式を解析する過程にメモリ破損を引き起こす脆弱性が存在する。細工されたExcelファイルを開くと、任意のコードが実行される危険性がある。

　攻撃としては、細工したExcelファイルをWebページ上に置くか、電子メールの添付ファイルとして送信し、それをユーザーに開かせるように誘導する方法が考えられる。Internet Explorer（IE）＋Excel 2000の環境では、警告ダイアログなどの表示がされずにExcelファイルがIEのブラウザ・ウィンドウ内で直接表示されるため、細工されたExcelファイルへのリンクをクリックするだけで、攻撃が実行されてしまう（Excel 2002／2003／2007では、［ファイルのダウンロード］ダイアログが表示される）。

　MS08-014の脆弱性は、特定の企業や団体をターゲットにした電子メール添付型ウイルスに悪用される危険性が高いので注意した方がよい。またWebページによる攻撃では、スパイウェアやトロイの木馬のインストールに悪用されることも懸念される。

　マイクロソフトによれば、MS08-014で解消される脆弱性のうち、1件については、すでに攻撃に悪用された事例が報告されているという。至急修正プログラムを適用した方がよい。

　MS08-014の修正プログラムは、以下の7件の脆弱性を解消する。

■マクロ検証の脆弱性（深刻度：緊急 CVE：CVE-2008-0081）
　2008/01/23日付けHotFix Weeklyで報告済みの「Excelに任意のコードが実行可能な脆弱性」を解消する。

・HotFix Weekly 2008/01/23日付け（Excelに任意のコードが実行可能な脆弱性）：
http://www.hotfix.jp/archives/alert/2008/news08-0123.html#01

　Excelのマクロに関するヘッダ情報を処理する過程にメモリ破損の脆弱性が存在し、細工されたExcelファイルを開くと、ユーザーの操作なしに任意のコードが実行される危険性がある。

　この脆弱性は実証コードが公開されており、すでに攻撃に悪用された事例が報告されている。なおExcel 2007とOffice互換機能パックは、この脆弱性の影響を受けない。

■式解析の脆弱性（深刻度：緊急 CVE：CVE-2008-0115）
　Excelが式の情報を検証する際のメモリ計算エラーに起因するメモリ破損の脆弱性が存在する。細工されたExcelファイルを開くと、ユーザーの操作なしに任意のコードが実行される危険性がある。

■データ検証レコードの脆弱性（深刻度：緊急 CVE：CVE-2008-0111）
　ExcelがExcelファイルをメモリに読み込む際にデータ検証レコードを十分に検証しないことに起因する脆弱性が存在する。細工されたExcelファイルを開くと、ユーザーの操作なしに任意のコードが実行される危険性がある。

■リッチテキストの検証の脆弱性（深刻度：緊急 CVE：CVE-2008-0116）
　Excelがアプリケーションのデータをメモリに読み込む際にリッチテキストの値を十分に検証しないことに起因する脆弱性が存在する。細工されたExcelファイルを開くと、ユーザーの操作なしに任意のコードが実行される危険性がある。

　なおExcel 2007は、この脆弱性の影響を受けない。

■条件付きフォーマットの脆弱性（深刻度：緊急 CVE：CVE-2008-0117）
　Excelが条件付きフォーマットの値を十分に検証しないことに起因する脆弱性が存在する。細工されたExcelファイルを開くと、ユーザーの操作なしに任意のコードが実行される危険性がある。

　なおこの脆弱性は、Excel 2000／2002のみ影響を受ける。

■STYLEレコードの脆弱性（深刻度：緊急 CVE：CVE-2008-0114）
　ExcelがSTYLEレコードを検証する際のメモリ処理エラーに起因するメモリ破損の脆弱性が存在する。細工されたExcelファイルを開くと、ユーザーの操作なしに任意のコードが実行される危険性がある。

　なおExcel 2007とOffice互換機能パックは、この脆弱性の影響を受けない。

■ファイル・インポートの脆弱性（深刻度：緊急 CVE：CVE-2008-0112）
　Excelが、ファイルをインポートする際にデータを十分に検証しないことに起因する脆弱性が存在する。細工されたExcelファイルを開くと、ユーザーの操作なしに任意のコードが実行される危険性がある。

　なおこの脆弱性は、Excel 2000のみ影響を受ける。

■適用テストの結果
　DA Labでは、以下のプラットフォームで修正プログラムの適用テストを行った。

■MBSA 2.0.1の結果
　MS08-014のExcel 2002／2003、Excel Viewer 2003、Excel 2007向け修正プログラムが正しく適用されているかどうかは、MBSA 2.0.1で確認可能だ。未適用の場合は、「Officeのセキュリティの更新プログラム」の「結果の詳細情報」に以下のいずれかが表示される。Excel 2000は、MSBA 2.0.1でサポートされておらず、適用状態の確認はできない。

• Microsoft Excel 2002 セキュリティ更新プログラム: KB946976
• Microsoft Office Excel 2003 セキュリティ更新プログラム: KB946395
• Microsoft Office Excel Viewer 2003 セキュリティ更新プログラム: KB943889
• Microsoft Office Excel 2007 セキュリティ更新プログラム: KB946975
• 2007 Microsoft Office system セキュリティ更新プログラム: KB947801

　なお上記のExcel 2003向け修正プログラムのKB番号（KB946395）は誤りで、正しくはKB943985のはずだ。MBSAだけではなくMicrosoft Updateや自動更新、WSUSなどでも間違って表示されているので注意が必要だ。

■Microsoft UpdateはOffice 2003 SP3／2007 SP1に対しても修正プログラムの適用を促す
　MS08-014の脆弱性は、Office 2003 SP3／Office 2007 SP1を適用済みのExcel 2003／2007では影響を受けない。しかし、これらがインストールされたコンピュータでMicrosoft Update／Office Update／自動更新を実行すると、MS08-014の修正プログラムを適用するように促される。TechNetセキュリティ情報によれば、修正プログラムで置き換わるファイル（EXCEL.EXE）が、Office 2003 SP3／Office 2007 SP1提供されたものより新しいバージョン番号のため、適用が促されるということだ。脆弱性の影響を受けないため、すぐに適用する必要はない。ただし新しいバージョン番号のファイルは、安定性が向上しているとのことなので、なるべく早期に適用しておくとよい。

　なおOffice互換機能パックにはすでにSP1が提供されている。Microsoft Update／Office Update／自動更新では、このSP1適用済みのOffice互換機能パックにもMS08-014の修正プログラム適用が促される。DA Lab.でも手動による適用テストに成功している。TechNetセキュリティ情報には、Office互換機能パックのSP1にMS08-014の脆弱性があるのか明記されていないが、少なくとも修正プログラムの適用は可能である。

■Excel向けとOffice互換機能パック向けの修正プログラムはそれぞれ適用が必要
　Office 2000／XP／2003にOffice互換機能パック＊をインストールしている場合、それぞれのExcel 2000／2002／2003向けの修正プログラムに加え、Office互換機能パック向けの修正プログラムの適用が必要である。同様に、後からOffice互換機能パックをインストールした場合も、MS08-014のOffice互換機能パック向け修正プログラムを忘れずに適用したい。

　両方の修正プログラムを適用しないと、MS08-014の脆弱性は解消されない。

＊Office互換機能パックは、Office 2000／XP／2003において、Word／Excel／PowerPoint 2007のファイル形式の文書、ブック、プレゼンテーションを読み込んで、その編集や保存を可能にする機能を提供するもの

■Excel 2000向けはOffice Updateで提供
　Microsoft UpdateはExcel 2000に対応していないため、Microsoft Updateや自動更新を実行してもMS08-014のExcel 2000向けの修正プログラムは表示されないので注意が必要だ。この修正プログラムを適用するには、ダウンロード・センターで修正プログラムを入手するか、Office Updateを実行する必要がある。

　なおExcel 2002／2003／2007、Excel Viewer 2003向けの修正プログラムは、Microsoft Updateで提供されるため、ほかのセキュリティ修正プログラムとともに選択・適用が可能だ。

■修正プログラムのアンインストールに必要な条件
　 Excel 2002／2003／2007向けの修正プログラムは、以下の条件を満たせばアンインストール可能である。Excel 2000向けの修正プログラムはアンインストールできない。

• OSがWindows XP SP2またはWindows Server 2003 SP1／R2／SP2
• Windows Installer 3.0以降をインストールした後で修正プログラムを適用
• OfficeのインストールCDにアクセス可能

　修正プログラムが正しく適用できたかどうかは、EXCEL.EXE／XLVIEW.EXE／excelcnv.exeのファイルのバージョンをプロパティで調べることで確認できる。

・Excel 2000（Office 2000 SP3）：
［展開ビュー］−［Office］タブに「名前：office2000-KB946979-FullFile-JPN.exe」で登録

・Excel 2002（Office XP SP3）：
［展開ビュー］−［Office］タブに「名前：officexp-KB946976-FullFile-JPN.exe」で登録

・Excel 2003（Office 2003 SP2／SP3）：
［展開ビュー］−［Office］タブに「名前：office2003-KB943985-FullFile-JPN.exe」で登録

・Excel Viewer 2003：
UpdateEXPERTのサポート対象外

・Excel 2007（Office 2007 SP未適用／SP1）：
UpdateEXPERTのサポート対象外

・Office互換機能パック：
UpdateEXPERTのサポート対象外