Microsoft Visioが、Visioファイルを処理する方法などに脆弱性が存在する。細工されたVisioファイルを開くと、任意のコードが実行される危険性がある。

　攻撃としては、細工したVisioファイルをWebページ上に置くか、電子メールの添付ファイルとして送信し、それをユーザーに開かせるように誘導する方法が考えられる。ただしVisio 2002／2003／2007では、Webページ上に置かれたファイルを開く場合、［ファイルのダウンロード］ダイアログが表示されるため、ここで［はい］ボタンをクリックしない限り、攻撃が実行されることはない。同様に、電子メールに細工されたVisioファイルが添付された場合においても、添付ファイルをユーザーが開かない限り、自動的に攻撃が実行されることはない。

　MS08-019の脆弱性は、特定の企業や団体をターゲットにした電子メール添付型ウイルスに悪用される危険性が高いので注意した方がよい。またWebページによる攻撃では、スパイウェアやトロイの木馬のインストールに悪用されることも懸念される。

　MS08-019の修正プログラムは、以下の2件の脆弱性を解消する。

　この脆弱性は、VisioがVisioファイルを開く際、オブジェクト・ヘッダのデータを十分に検証しないことに起因する。細工されたVisioファイルを開くと、任意のコードが実行されるような方法で、オブジェクト・ヘッダのデータに対するメモリ割り割り当てられてしまう。

　現時点では、実証コードや攻撃事例は報告されていない。

　この脆弱性は、Visioが.DXF（AutoCAD）ファイルをメモリに読み込む際に、メモリの割り当てを十分に検証しないことに起因する。細工された.DXFファイルを開くと、任意のコードが実行されるような方法でメモリ割り割り当てられてしまう。

　現時点では、実証コードや攻撃事例は報告されていない。

■適用テストの結果
　DA Labでは、以下のプラットフォームで修正プログラムの適用テストを行った。

■MBSA 2.0.1の結果
　MS08-019の修正プログラムが正しく適用されているかどうかは、MBSA 2.0.1で確認可能だ。未適用の場合は、「Officeのセキュリティの更新プログラム」の「結果の詳細情報」に以下のいずれかが表示される。

• Microsoft Visio 2002 セキュリティ更新プログラム: KB947896
• Microsoft Office Visio 2003 セキュリティ更新プログラム: KB947650
• Microsoft Office Visio 2007 セキュリティ更新プログラム: KB947590
  

■Visioをインストールしていないのに、MS08-019の修正プログラムがMicrosoft Update／Office Update／自動更新に表示される
　Visioをインストールしていなくても、Office 2007がインストールされた環境では、Microsoft Update／Office Update／自動更新においてMS08-019の修正プログラムが表示される。しかしMS08-019の修正プログラムで置き換わるファイルを調べたところ、Visioがインストールされていない状態では、これらのファイルはシステムに含まれていない。実際、VisioがインストールされていないOffice 2007に対して、MS08-019の修正プログラムを適用しても、ファイルの置き換えなどは行われず終了してしまう。

　TechNetセキュリティ情報にも、この件についての記述がないため、なぜMicrosoft Update／Office Update／自動更新において適用を促すのか不明だ。Visioをインストールしていないのであれば、MS08-019の修正プログラムの適用は不要だと思われる。

■MS08-019の修正プログラムを適用したVisio 2003で発生する不具合
　 MS08-019の修正プログラムをVisio 2003に適用すると、AutoCAD 2000の.DWGファイル／.DXFファイルをVisio 2003で操作しようとすると、エラーが発生したり、Visioがハングアップしたりする不具合が発生する。サポート技術情報によれば、AutoCAD 2000の.DWGファイル／.DXFファイルをAutoCAD 14の.DWGファイル、AutoCAD 12の.DXFファイルに変換してからで保存することで、Visio 2003でも開けるようになるということだ。古いAutoCADのデータを、Visio 2003で利用しているような場合には注意が必要だ。

・サポート技術情報 947650（MS08-019: Office Visio 2003 のために、セキュリティ更新プログラムの説明:2008年 April 8日）：
http://support.microsoft.com/default.aspx?scid=kb;ja;947650（機械翻訳）

■修正プログラムのアンインストールに必要な条件
　 MS08-019の修正プログラムは、以下の条件を満たせばアンインストール可能である。

• OSがWindows XP SP2またはWindows Server 2003 SP1／SP2
• Windows Installer 3.0以降をインストールした後で修正プログラムを適用
• OfficeのインストールCDにアクセス可能

　修正プログラムが正しく適用できたかどうかは、置き換わるファイルのバージョンをプロパティで調べることで確認できる。

・Visio 2002 SP2：
UpdateEXPERTのサポート対象外

・Visio 2003 SP2／SP3：
UpdateEXPERTのサポート対象外

・Visio 2007 SP未適用／SP1：
UpdateEXPERTのサポート対象外