ActiveXコントロールがInternet Explorer（IE）を介してアクセスされる際にメモリ破損の脆弱性が起こることで、リモートで任意のコードが実行される危険性がある。細工されたWebページを開くと、ユーザーの操作なしに任意のコードが実行されてしまう。アドウェアやトロイの木馬のインストールに悪用される可能性がある。

　ActiveXコントロールのhxvz.dll（Microsoft Help 2.0 Contents Control）にメモリ破損の脆弱性が存在する。細工されたActiveXコントロールの呼び出しにより、エラーが起こり、その結果として任意のコードが実行されるような方法でメモリ破損が発生する。

　この脆弱性は、hxvz.dlのCLSIDに対してkillbitを設定し、IEからこのDLLが呼び出されないようにすることで解消される。そのため、MS08-023の修正プログラムによって置き換わるファイルはない。

　なお現時点では、実証コードや攻撃事例は報告されていない。

■適用テストの結果
　DA Labでは、以下のプラットフォームで修正プログラムの適用テストを行った。

■MBSA 2.0.1の結果
　MS08-023の修正プログラムが正しく適用されているかどうかは、MBSA 2.0.1で確認可能だ。未適用の場合は、「Windowsのセキュリティの更新」の「結果の詳細情報」に、OSとIEのバージョンによって以下のいずれかが表示される。

• Windows 2000 用 Internet Explorer 5.01 の ActiveX Killbits に対するセキュリティ更新プログラム (KB948881)
• Windows 2000 用 Internet Explorer 6 の ActiveX Killbits に対するセキュリティ更新プログラム (KB948881)
• Windows XP の ActiveX Killbits に対するセキュリティ更新プログラム (KB948881)
• Windows Server 2003 の ActiveX Killbits に対するセキュリティ更新プログラム (KB948881)
• Windows Vista の ActiveX Killbits に対するセキュリティ更新プログラム (KB948881)
• Windows Server 2008 の ActiveX Killbits に対するセキュリティ更新プログラム (KB948881)

■Windows Vista SP未適用／SP1向けとWindows Server 2008向けの修正プログラムは同じもの
　 MS08-023のWindows Vista SP未適用／SP1向けとWindows Server 2008向けの修正プログラムは、ダウンロード・センターなどでは別のものとして扱われているが、修正プログラム自体はまったく同じものである。DA Labでは、Windows Server 2008向けの修正プログラムをWindows Vista Businessに適用できることを確認している。

■ActiveXコントロールにkillbitを設定
　 MS08-023の修正プログラムでは、以下のCLSIDに対してkillbitを設定し、ActiveXコントロールの脆弱性を攻撃に悪用されるのを防いでいる。

　またYahoo! Music Jukeboxに存在する2件の脆弱性を解消するため、以下のCLSIDに対してもkillbitを設定する。

　修正プログラムが正しく適用できたかどうかは、以下のレジストリ・キーにある値を調べることで確認できる。

・Windows 2000 SP4＋IE 5.01 SP4：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Internet Explorer 5.01\SP4\KB948881-IE501SP4-20080313.120000が存在することを確認する

・Windows 2000 SP4＋IE 6 SP1：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Internet Explorer 6\SP1\KB948881-IE6SP1-20080313.120000が存在することを確認する

・Windows XP SP2：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows XP\SP3\KB948881が存在することを確認する

・Windows Server 2003 SP1／SP2：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows Server 2003\SP3\KB948881が存在することを確認する

・Windows Vista SP未適用／SP1：
追加されたkillbitを確認する

・Windows Server 2008：
追加されたkillbitを確認する

・Windows 2000 SP4＋IE 5.01 SP4：
［展開ビュー］−［IE］タブに「名前：IE5.01sp4-KB948881-Windows2000sp4-x86-JPN.exe」で登録

・Windows 2000 SP4＋IE 6 SP1：
［展開ビュー］−［IE］タブに「名前：IE6.0sp1-KB948881-Windows2000-x86-JPN.exe」で登録

・Windows XP SP2：
［展開ビュー］−［IE］タブに「名前：WindowsXP-KB948881-x86-JPN.exe」で登録

・Windows Server 2003 SP1／SP2：
［展開ビュー］−［IE］タブに「名前：WindowsServer2003-KB948881-x86-JPN.exe」で登録

・Windows Vista SP未適用／SP1：
現在のところサポート対象外

・Windows Server 2008：
現在のところサポート対象外