このページは、HotFix Reportで配信されたセキュリティ情報のバックナンバーです。「更新日」に明記された時点での情報ですのでご注意ください。ご購読の申し込みは「HotFix Report購読の申し込み」 をご参照ください。

トップページ サービスの詳細 セキュリティ情報 購読の申し込み
　
　
 Windowsプラットフォーム向けHotFix情報サービス
HotFix Alert：2008/08/15版
　
【登録日】2008/08/14
【更新日】2008/08/15
HFR BBS会議室
　
深刻度
→ 1（緊急）
　 2（重要）
　 3（警告）
　 4（注意）
攻撃コードの有無
あり
対策
至急適用
再起動の必要性
不要
アンインストール
不可
対象環境
○ サーバ
○ クライアント
セキュリティ情報
MS08-041（日本）
MS08-041（US）
サポート技術情報
含まれる過去の修正
MS03-038（Access Snapshot Viewer、Access 2000／2002）
脆弱性識別番号
MS08-041／955617
Access Snapshot ViewerのActiveXコントロールの脆弱性により、リモートで任意のコードが実行される危険性
（Microsoft Access Snapshot Viewer の ActiveX コントロールの脆弱性により、リモートでコードが実行される）

対応の緊急性：至急適用 ［攻撃コード公開済み］［攻撃事例なし］
危険性
低 　 　 　 　 　 　 　 　 　 ●
高
←
SP待ち
 　
早期適用
 　
緊急適用
→
脆弱性による危険性を示す。「緊急適用」の場合、すでに攻撃コードが公開されているなど、脆弱性を悪用した攻撃が開始される可能性がある。「SP待ち」の場合、現時点では危険性がそれほど高くないため、サービスパックに反映されるまで待つことが可能であることを示す。

可能性のある攻撃
攻撃手法
脆弱性の影響
リモート攻撃 ウイルス／ワーム 電子メール添付 Webサイトへの誘導 コードの実行 権限の昇格 情報の漏えい サービス拒否 なりすまし
　 　  
○
○
   　 　 　
　
‥‥‥ 概要 ‥‥‥

　Access Snapshot ViewerのActiveXコントロール（SNAPVIEW.OCX）によるファイルの保存方法に脆弱性が存在する。細工したWebページをInternet Explorer（IE）で開くと、Access Snapshot ViewerのActiveXコントロールが起動され、任意のコードが実行される危険性がある。アドウェアやトロイの木馬のインストールに悪用されることが懸念される。
　
脆弱性の内容
■任意のファイルのダウンロードの脆弱性
最大深刻度 CVE番号 脆弱性の公開 実証コード 攻撃事例
緊急 CVE-2008-2463 公開済み 公開済み あり

　これは2008/07/09日付けHotFix Weeklyで報告済みの「Snapshot Viewer for Microsoft AccessのActiveXコントロールの脆弱性」である。

・HotFix Weekly 2008/07/09日付け（Snapshot Viewer for Microsoft AccessのActiveXコントロールの脆弱性により、リモートでコードが実行される危険性）：
http://www.hotfix.jp/archives/alert/2008/news08-0709.html#01

　Access Snapshot ViewerのActiveXコントロール（snapview.ocx）でファイルを保存する際に、設定によって競合状態が起こり、自動的にファイルが攻撃者の指定した場所にダウンロードされてしまう脆弱性が存在する。その結果、任意のコードが実行される危険性がある。

　スタンドアロンのSnapshot Viewer、またはAccess 2000／2002／2003がインストールされている場合、脆弱性の影響を受ける。
　
対象プラットフォーム
影響を受けるソフトウェア 対象プラットフォーム
Access 2000 Office 2000 SP3
Access 2002 Office XP SP3
Access 2003 Office 2003 SP2／SP3
Access Snapshot Viewer Access Snapshot Viewer
　
‥‥‥ DA Lab：HotFixテスティング・チームからのコメント ‥‥‥

■適用テストの結果
　DA Labでは、以下のプラットフォームで修正プログラムの適用テストを行った。

プラットフォーム
適用テスト結果
Windows 2000 Professional SP4＋Office 2000 Professional SP3
○
Windows 2000 Server SP4＋Office Professional 2003 SP2
○
Windows XP Professional SP2＋Office 2000 Professional SP3
○
Windows XP Professional SP2＋Office Professional 2003 Enterprise SP3
○
Windows Server 2003, Standard Edition SP1＋Office 2000 Premium SP3
○
Windows Server 2003, Enterprise Edition SP1＋Office XP Professional Enterprise SP3
○
Windows Server 2003, Enterprise Edition SP2＋Office Professional 2003 Enterprise SP3
○
○は問題なし、△は一部に問題あり、×は適用による障害あり

■MBSA 2.1の結果
　修正プログラムが正しく適用されているかどうかは、Access 2000を除いて、MBSA 2.1で確認可能だ。未適用の場合は、「Officeのセキュリティの更新プログラム」の「結果の詳細情報」に以下のいずれかが表示される。Access 2000は、MSBA 2.1でサポートされておらず、適用状態の確認はできない。

  • Access Snapshot Viewer 2002 セキュリティ更新プログラム: KB955440
  • Access Snapshot Viewer 2003 セキュリティ更新プログラム: KB955439
　
適用時の注意点

■Access 2000向けはOffice Updateで提供
　 MS08-041のAccess 2000向けの修正プログラムは、ダウンロード・センターとOffice Updateで提供されている。Microsoft UpdateはAccess 2000に対応していないため、MS08-041のAccess 2000向けの修正プログラムは表示されないので注意が必要だ（自動更新でも適用されない）。ダウンロード・センターで修正プログラムを入手して手動で適用を行うか、Office Updateを実行する必要がある。

　なおAccess 2002／2003向けの修正プログラムは、Microsoft Updateで提供されるため、ほかのセキュリティ修正プログラムとともに選択・適用が可能だ。

■Access Snapshot Viewer向けの修正プログラムは準備中
　 Access Snapshot Viewer向けの修正プログラムは、2008年8月15日現在、「準備中」となっており、Windows Update／Microsoft Update／自動更新／ダウンロード・センターのいずれにおいても提供されていない。マイクロソフトは、現在修正プログラムの作成中であり、できるだけ早急に公開する予定であると述べている。

　Windows Update／Microsoft Updateを使って修正プログラムを適用している場合、適用するタイミングによっては、Access Snapshot Viewer向けの修正プログラムが未適用のままになってしまうので注意が必要だ。
　
‥‥‥ 修正プログラムのダウンロード先 ‥‥‥
プラットフォーム ダウンロード・センター Office Update／MU／WSUSの表示
Access Snapshot Viewer
準備中
 −
Access 2000
（Office 2000 SP3）		 Access Snapshot Viewer 2000 セキュリティ更新プログラム: KB955441
Access 2002
（Office XP SP3）		 Access Snapshot Viewer 2002 セキュリティ更新プログラム: KB955440
Access 2003
（Office 2007 SP未適用／SP1）		 Access Snapshot Viewer 2003 セキュリティ更新プログラム: KB955439
　
‥‥‥ 適用されるファイル情報 ‥‥‥
　以下のファイルにパッチが適用される。障害の発生が懸念される場合は、これらのファイルのバックアップを取っておくとよい。
　
Access Snapshot Viewer：　
準備中
　
Access 2000（Office 2000 SP3）：
ファイル名 日付 バージョン サイズ
office2000-KB955441-FullFile-JPN.exe 2008/07/24 9.0.11370.0
215,112
　
ファイル名 日付 バージョン サイズ 機能
展開フォルダ %ProgramFiles%\Common Files\Microsoft Shared\Snapshot Viewer\
snapview.exe 2002/10/24 10.0.4622.0
59,976
 Microsoft Snapshot Viewer Application
snapview.ocx 2008/07/12 11.0.8228.0
136,200
 Microsoft Snapshot Viewer Control

Access 2002（Office XP SP3）：
ファイル名 日付 バージョン サイズ
officexp-KB955440-FullFile-JPN.exe 2008/07/23 10.0.6846.0
198,720
　
ファイル名 日付 バージョン サイズ 機能
展開フォルダ %ProgramFiles%\Common Files\Microsoft Shared\Snapshot Viewer\
SNAPVIEW.OCX 2008/07/22 11.0.8228.0
136,200
 Microsoft Snapshot Viewer Control
　
Access 2003（Office 2003 SP2／SP3）：
ファイル名 日付 バージョン サイズ
office2003-KB955439-FullFile-JPN.exe 2008/07/29 11.0.8229.0
200,776
　
ファイル名 日付 バージョン サイズ 機能
展開フォルダ %ProgramFiles%\Common Files\Microsoft Shared\Snapshot Viewer\
SNAPVIEW.OCX 2008/07/12 11.0.8228.0
136,200
 Microsoft Snapshot Viewer Control
　
‥‥‥ 確認方法 ‥‥‥

　修正プログラムが正しく適用できたかどうかは、置き換わるファイルのバージョンをプロパティで調べることで確認できる。
　
予想適用時間
修正プログラム名 50台 100台 250台 500台
office2000-KB955441-FullFile-JPN.exe
（Office 2000 SP3）		 12分 21分 46分 1時間28分
officexp-KB955440-FullFile-JPN.exe
（Office XP SP3） 		12分 21分 46分 1時間28分
office2003-KB955439-FullFile-JPN.exe
（Office 2003 SP2／SP3）		 12分 21分 46分 1時間28分
1コンソールのUpdateEXPERT 6.1で、今回の修正プログラムを適用するのにかかる時間を概算したもの。ネットワーク環境や適用するコンピュータの性能などによって適用時間は異なる。あくまでも目安として利用してほしい。
　
UpdateEXPERT上の表示

・Access Snapshot Viewer：
UpdateEXPERTのサポート対象外

・Access 2000（Office 2000 SP3）：
［展開ビュー］−［Office］タブに「名前：office2000-KB955441-FullFile-JPN.exe」で登録

・Access 2002（Office XP SP3）：
［展開ビュー］−［Office］タブに「名前：officexp-KB955440-FullFile-JPN.exe」で登録

・Access 2003（Office 2003 SP2／SP3）：
［展開ビュー］−［Office］タブに「名前：office2003-KB955439-FullFile-JPN.exe」で登録
　
HotFix Reportは、UpdateEXPERTユーザー向けの情報を含んでいます。UpdateEXPERTは、管理者の負担を大幅に軽減するHotFix管理ツールです。UpdateEXPERTに関する詳細ならびにお問い合わせは、アップデートテクノロジー株式会社のホームページをご参照ください。
　
Copyright (C) Digital Advantage Corp.
このメールは、HotFix Reportにご登録いただいておりますユーザー様にお送りしています。
無断で複製・再配信などを行うことはできません。 このメールに関する問い合わせ先：info@hotfix.jp
HotFix Reportでは、細心の注意を払って情報提供を行っておりますが、本サービスにおける情報の正確性、最新性、適切性などについて、明示的又は黙示的な保証を行いません。また本サービスの停止や欠陥、それらに起因して発生する損失や損害について、一切責任を負いません。