OfficeがOfficeファイルを表示する際の処理にメモリ破損を引き起こす脆弱性が存在する。細工されたOfficeファイルを開くと、任意のコードが実行される危険性がある。

　攻撃としては、細工したOfficeファイルをWebページ上に置くか、電子メールの添付ファイルとして送信し、それをユーザーに開かせるように誘導する方法が考えられる。Internet Explorer（IE）＋Office 2000の環境では、警告ダイアログなどの表示がされずにOfficeファイルがIEのブラウザ・ウィンドウ内で直接表示されるため、細工されたOfficeファイルへのリンクをクリックするだけで、攻撃が実行されてしまう（Office XP／2003では、［ファイルのダウンロード］ダイアログが表示される）。

　MS08-016の脆弱性は、特定の企業や団体をターゲットにした電子メール添付型ウイルスに悪用される危険性が高いので注意した方がよい。またWebページによる攻撃では、スパイウェアやトロイの木馬のインストールに悪用されることも懸念される。

　マイクロソフトによれば、MS08-016の脆弱性は非公開で報告されたとしており、現時点では実証コードや攻撃例は確認されていないという。ただし脆弱性の内容が公開されたことから、実証コードが開発され、攻撃に悪用されることが懸念される。至急、修正プログラムを適用した方がよい。

　MS08-016の修正プログラムは、以下の2件の脆弱性を解消する。

■メモリ破損の脆弱性（深刻度：緊急 CVE：CVE-2008-0118）
　Officeが、Officeファイルを表示する際のメモリ割り当てエラーに起因するメモリ破損の脆弱性が存在する。細工したOfficeファイルを開くと、ユーザーの操作なしに任意のコードが実行される危険性がある。

■セルの解析のメモリ破損の脆弱性（深刻度：重要 CVE：CVE-2008-0113）
　Excel Viewerが、Excelファイルを表示する際のメモリ割り当てエラーに起因するメモリ破損の脆弱性が存在する。細工したExcelファイルを開くと、ユーザーの操作なしに任意のコードが実行される危険性がある。

　なおこの脆弱性は、Excel Viewer 2003 SP未適用／SP3のみ影響を受ける。

■適用テストの結果
　DA Labでは、以下のプラットフォームで修正プログラムの適用テストを行った。

■MBSA 2.0.1の結果
　MS08-016のOffice XP／2003、Excel Viewer 2003 SP未適用／SP3向け修正プログラムが正しく適用されているかどうかは、MBSA 2.0.1で確認可能だ。未適用の場合は、「Officeのセキュリティの更新プログラム」の「結果の詳細情報」に以下のいずれかが表示される。Office 2000は、MSBA 2.0.1でサポートされておらず、適用状態の確認はできない。

• Microsoft Office XP セキュリティ更新プログラム: KB947866
• Microsoft Office 2003 セキュリティ更新プログラム: KB947355
  

■Microsoft UpdateはOffice 2003 SP3に対しても修正プログラムの適用を促す
　MS08-016の脆弱性は、Office 2003 SP3では影響を受けない。しかしMicrosoft UpdateはOffice 2003 SP3であっても、MS08-016の修正プログラムの適用を促すようになっている。TechNetセキュリティ情報によれば、修正プログラムで提供されるファイル（MSO.DLL）が、Office 2003 SP3で提供されたものよりも新しいバージョン番号であるため、適用が促されるということだ。脆弱性の影響を受けないため、すぐに適用する必要はない。ただし新しいバージョン番号のファイルは、安定性が向上しているとのことなので、なるべく早期に適用しておくとよい。

■Excel 2000向けはOffice Updateで提供
　 MS08-016のOffice 2000向けの修正プログラムは、ダウンロード・センターとOffice Updateで提供されている。Microsoft UpdateはOffice 2000に対応していないため、MS08-016のOffice 2000向けの修正プログラムは表示されないので注意が必要だ（自動更新でも適用されない）。ダウンロード・センターで修正プログラムを入手して手動で適用を行うか、Office Updateを実行する必要がある。

　なおOffice XP／2003、Excel Viewer 2003 SP未適用／SP3向けの修正プログラムは、Microsoft Updateで提供されるため、ほかのセキュリティ修正プログラムとともに選択・適用が可能だ。

■修正プログラムのアンインストールに必要な条件
　 Office XP／2003向けの修正プログラムは、以下の条件を満たせばアンインストール可能である。前述したとおり、Office 2000向けの修正プログラムはアンインストールできない。

• OSがWindows XP SP2またはWindows Server 2003 SP1／R2／SP2
• Windows Installer 3.0以降をインストールした後で修正プログラムを適用
• OfficeのインストールCDにアクセス可能

　修正プログラムが正しく適用できたかどうかは、mso9.dll／MSO.DLL／IETAG.DLLのファイルのバージョンをプロパティで調べることで確認できる。

・Office 2000 SP3：
［展開ビュー］−［Office］タブに「名前：office2000-KB947361-FullFile-JPN.exe」で登録

・Office XP SP3：
［展開ビュー］−［Office］タブに「名前：officexp-KB947866-FullFile-JPN.exe」で登録

・Office 2003 SP2／SP3：
［展開ビュー］−［Office］タブに「名前：office2003-KB943985-FullFile-JPN.exe」で登録

・Excel Viewer 2003 SP未適用／SP3：
UpdateEXPERTのサポート対象外