Outlookが、mailto URI（メール送信のためのリンク）を十分に検証しないことに起因する脆弱性が存在する。細工されたmailto URIをOutlookが受け取ると、任意のコードが実行される危険性がある。攻撃としては、Webページ上に細工したmailto URIを設定するなどして、それをユーザーにクリックするように誘導する方法が考えられる。ユーザーが、デフォルトのメール・クライアントをOutlookに設定している場合、ユーザーの操作なしに脆弱性が悪用される危険性がある。

　マイクロソフトによれば、MS08-013の脆弱性は非公開で報告されたとしており、現時点では実証コードや攻撃例は確認されていないという。ただし脆弱性の内容が公開されたことから、実証コードが開発され、攻撃に悪用されることが懸念される。至急、修正プログラムを適用した方がよい。

　Outlookが、Webブラウザなどから渡されたmailto URIを処理する際に、入力値の検証が十分でないことに起因する脆弱性が存在する。細工されたmailto URIが、Outlookに渡されると入力値エラーが発生し、その結果、任意のコードが実行される危険性がある。

■適用テストの結果
　DA Labでは、以下のプラットフォームで修正プログラムの適用テストを行った。

■MBSA 2.0.1の結果
　MS08-013のOutlook 2002／2003／2007向け修正プログラム修正プログラムが正しく適用されているかどうかは、MBSA 2.01で確認可能だ。未適用の場合は、「Officeのセキュリティの更新プログラム」の「結果の詳細情報」に以下のいずれかが表示される。Outlook 2000は、MSBA 2.01でサポートされておらず、適用状態の確認はできない。

• Microsoft Outlook 2002 セキュリティ更新プログラム: KB946985
• Microsoft Office Outlook 2003 セキュリティ更新プログラム: KB945432
• Microsoft Office Outlook 2007 セキュリティ更新プログラム: KB946983

■Microsoft UpdateはOutlook 2007 SP1に対しても修正プログラムの適用を促す
　 MS08-015の脆弱性は、Office 2007 SP1適用済みのOutlook 2007には影響を与えない。しかしMicrosoft UpdateはOffice 2007 SP1が適用済みであっても、MS08-015の修正プログラムの適用を促すようになっている。TechNetセキュリティ情報によれば、修正プログラムで置き換わるファイルが、Office 2007 SP1で提供されたものよりも新しいバージョン番号であるため、適用が促されるということだ。脆弱性の影響を受けないため、すぐに適用する必要はない。ただし新しいバージョン番号のファイルは、安定性が向上しているとのことなので、なるべく早期に適用しておくとよい。

■Outlook 2000向けはOffice Updateで提供
　Microsoft Updateや自動更新はOutlook 2000に対応していないため、これらのパッチ管理ツールではMS08-015のOutlook 2000向けの修正プログラムは表示されないので注意が必要だ。この修正プログラムを適用するには、ダウンロード・センターで修正プログラムを入手するか、Office Updateを実行する必要がある。

　なおOutlook 2002／2003／2007向けの修正プログラムは、Microsoft Updateで提供されるため、ほかのセキュリティ修正プログラムとともに選択・適用が可能だ。

■修正プログラムのアンインストールに必要な条件
　 Outlook 2002／2003／2007向けの修正プログラムは、以下の条件を満たせばアンインストール可能である。Outlook 2000向けの修正プログラムはアンインストールできない。

• OSがWindows XP SP2またはWindows Server 2003 SP1／R2／SP2
• Windows Installer 3.0以降をインストールした後で修正プログラムを適用
• OfficeのインストールCDにアクセス可能

　修正プログラムが正しく適用できたかどうかは、置き換わるファイルのバージョンをプロパティで調べることで確認できる。

・Outlook 2000（Office 2000 SP3）：
［展開ビュー］−［Outlook］タブに「名前：office2000-KB946986-FullFile-JPN.exe」で登録

・Outlook 2002（Office XP SP3）：
［展開ビュー］−［Outlook］タブに「名前：officexp-KB946985-FullFile-JPN.exe」で登録

・Outlook2003（Office 2003 SP2／SP3）：
［展開ビュー］−［Outlook］タブに「名前：office2003-KB945432-FullFile-JPN.exe」で登録

・Outlook 2007（Office 2007 SP未適用）：
UpdateEXPERTのサポート対象外