グラフィックス処理コンポーネントのGDI+（Graphics Design Interface Plus）にグラデーションのサイズを処理する過程などに脆弱性が存在する。細工されたWebページやOffice文書を開くと、任意のコードが実行される危険性がある。

　脆弱性が存在するGDI+は、さまざまなコンポーネントに含まれている上、サードパーティ製アプリケーションなどでも再配布されている。すべてのコンポーネントに対してもれなく修正プログラムを適用するとともに、GDI+が含まれるサードパーティ製アプリケーションなどに対しても更新版の有無を確認した方がよい。脆弱性を完全に解消するには、すべてのGDI+をそれぞれ更新しなければならない。

　MS08-052の脆弱性は、特定の企業や団体をターゲットにした電子メール添付型ウイルスに悪用される危険性が高いので注意した方がよい。またWebページによる攻撃では、スパイウェアやトロイの木馬のインストールに悪用されることも懸念される。

　MS08-052の修正プログラムは、以下の5件の脆弱性を解消する。

　ベクタ・グラフィックス・リンク・ライブラリで処理されたグラデーションのサイズを、GDI+が正しく処理しないことに起因する脆弱性が存在する。細工されたコンテンツを含むWebページを開くと、任意のコードが実行される危険性がある。

　GDI+が、拡張メタファイル（EMF）形式の画像ファイルを処理する過程にメモリ破損の脆弱性が存在する。細工されたEMF画像ファイルを含むWebページやOffice文書ファイルを開くと、任意のコードが実行される危険性がある。

　GDI+が、GIF画像ファイルのレコードを処理する過程に脆弱性が存在する。細工されたGIF画像ファイルを含むWebページやOffice文書ファイルを開くと、任意のコードが実行される危険性がある。

　GDI+が、Windowsメタファイル（WMF）形式の画像ファイルを解析する際に、メモリを正しく割り当てないことに起因する脆弱性が存在する。細工されたWMF画像ファイルを含むWebページやOffice文書ファイルを開くと、任意のコードが実行される危険性がある。

　GDI+が、BMPファイル内のヘッダを処理する過程に脆弱性が存在する。細工されたBMPファイルを含むWebページを開くと、任意のコードが実行される危険性がある。

■適用テストの結果
　DA Labでは、以下のプラットフォームで修正プログラムの適用テストを行った。

■MBSA 2.1の結果
　修正プログラムが正しく適用されているかどうかは、一部（後述）を除いてMBSA 2.1で確認可能だ。未適用の場合は、各項目の「結果の詳細情報」に以下のいずれかが表示される。

• Windows XP 用セキュリティ更新プログラム (KB938464)
• Windows Server 2003 用セキュリティ更新プログラム (KB938464)
• Windows Vista 用セキュリティ更新プログラム (KB938464)
• Windows Server 2008 用セキュリティ更新プログラム (KB938464)
• Windows 2000 用 Internet Explorer 6 のセキュリティ更新プログラム (KB938464)Microsoft .NET Framework 1.0 Service Pack 3 用セキュリティ更新プログラム (KB947739)
• Microsoft .NET Framework 1.1 Service Pack 1 用セキュリティ更新プログラム (KB947742)
• Microsoft .NET Framework 2.0 用セキュリティ更新プログラム (KB947746)
  ・Microsoft .NET Framework 2.0 Service Pack 1 用セキュリティ更新プログラム (KB947748)
• Microsoft Office XP セキュリティ更新プログラム: KB953405
• Office 2003 セキュリティ更新プログラム: KB954478
• 2007 Microsoft Office system セキュリティ更新プログラム: KB954326
• Visio 2002 セキュリティ更新プログラム: KB954479
• Microsoft Office PowerPoint Viewer 2003 セキュリティ更新プログラム: KB956500
• SQL Server 2005 Service Pack 2 のセキュリティ更新プログラム (KB954606)
• Microsoft Visual Studio 2005 Service Pack 1 のセキュリティ更新プログラム (KB947738)
• Microsoft Visual Studio 2008 のセキュリティ更新プログラム (KB952241)
• Microsoft Forefront Client Security の更新 (KB957177)

　以下のソフトウェアについては、MBSA 2.1で適用状況を確認できない。

• Digital Image Suite 2006
• Office Home Style+ SP1／SP2
• はがきスタジオ 2006
• Visual Studio .NET 2002 SP1
• Visual Studio .NET 2003 SP1
• Report Viewer 2005 SP1
• Report Viewer 2008
• Visual FoxPro 8.0 SP1
• Visual FoxPro 9.0 SP1／SP2
• Platform SDK Redistributable: GDI+

■Office XP SP3向けの修正プログラムはMS08-055と共通
　 Office XP SP3向けのMS08-052とMS08-055の修正プログラムは、どちらもKB953405として提供されており、同一のものである。Office XP SP3向けの修正プログラム「KB953405」を適用すると、MS08-052とMS08-055で説明されている両方の脆弱性が同時に解消されることになる。

■Windows Vista SP未適用／SP1向けとWindows Server 2008向けの修正プログラムは同じもの
　 MS08-052のWindows Vista SP未適用／SP1向けとWindows Server 2008向けの修正プログラムは、ダウンロード・センターなどでは別のものとして扱われているが、修正プログラム自体はまったく同じものである。DA Labでは、Windows Server 2008向けの修正プログラムをWindows Vista Business SP1に適用できることを確認している。

　修正プログラムが正しく適用できたかどうかは、以下のレジストリ・キーにある値を調べることで確認できる。

・Windows XP SP2／SP3：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows XP\SP4\KB938464\Filelist以下のファイル一覧を確認する

・Windows Server 2003 SP1／SP2：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows Server 2003\SP3\KB938464\Filelist以下のファイル一覧を確認する

・Windows Vista SP未適用／SP1：
置き換わるファイルで確認する

・Windows Server 2008：
置き換わるファイルで確認する

・Internet Explorer 6 SP1（Windows 2000 SP4）：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Internet Explorer 6\SP1\KB938464-IE6SP1-20080429.120000\Filelist以下のファイル一覧を確認する

・.NET Framework 1.0 SP3（Windows 2000 SP4）：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\.NETFramework\1.0\M9477391041の「Installed」値（DWORD）のデータが「1」であることを確認する

・.NET Framework 1.1 SP1（Windows 2000 SP4）：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\.NETFramework\1.1\M947742の「Installed」値（DWORD）のデータが「1」であることを確認する

・.NET Framework 2.0 SP未適用（Windows 2000 SP4）：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Microsoft .NET Framework 2.0\KB947746の「Installed」値（DWORD）のデータが「1」であることを確認
する

・.NET Framework 2.0 SP1（Windows 2000 SP4）：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Microsoft .NET Framework 2.0 Service Pack 1\KB947748の「Installed」値（DWORD）のデータが「1」であることを確認
する

・Office XP SP3：
置き換わるファイルで確認する

・Office 2003 SP2／SP3：
置き換わるファイルで確認する

・Office 2007 SP未適用／SP1：
置き換わるファイルで確認する

・Visio 2002 SP2：
置き換わるファイルで確認する

・Office PowerPoint Viewer 2003：
置き換わるファイルで確認する

・Microsoft Digital Image Suite 2006：
置き換わるファイルで確認する

・SQL Server 2000 Reporting Services SP2：
置き換わるファイルで確認する

・SQL Server 2005 SP2：
置き換わるファイルで確認する

・Visual Studio .NET 2002 SP1：
HKEY_LOCAL_MACHINE\Software\Microsoft\Updates\Visual Studio\7.0\M947736の「Installed」値（DWORD）のデータが「1」であることを確認する

・Visual Studio .NET 2003 SP1：
HKEY_LOCAL_MACHINE\Software\Microsoft\Updates\Visual Studio\7.1\M947737の「Installed」値（DWORD）のデータが「1」であることを確認する

・Visual Studio 2005 SP1：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Microsoft Visual Studio 2005 Professional Edition - ENU\KB947736の「Installed」値（DWORD）のデータが「1」であることを確認する

・Visual Studio 2008：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Microsoft Visual Studio 2005 Professional Edition - ENU\KB952241の「Installed」値（DWORD）のデータが「1」であることを確認する

・Microsoft Report Viewer 2005：
置き換わるファイルで確認する

・Microsoft Report Viewer 2008：
置き換わるファイルで確認する

・Visual FoxPro 8.0 SP1（Windows 2000 SP4）：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Visual Studio\8.0\M955368の「Installed」値（DWORD）のデータが「1」であることを確認する

・Visual FoxPro 9.0 SP1（Windows 2000 SP4）：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Visual Studio\9.0\M955369の「Installed」値（DWORD）のデータが「1」であることを確認する

・Visual FoxPro 9.0 SP2（Windows 2000 SP4）：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Visual Studio\9.0\M955370の「Installed」値（DWORD）のデータが「1」であることを確認する

・Microsoft Platform SDK Redistributable: GDI+：
置き換わるファイルで確認する

・Forefront Client Security 1.0（Windows 2000 SP4）：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\
Installer\UserData\S-1-5-18\Products\83B65B8E628ABD11C838001134C0374A\
Patches\B29A70D154959634487BB61EA95F17D4\Microsoft Forefront\Client Security\Client\Antimalware\gdiplus.dllを確認する

・Windows XP SP2／SP3：
［展開ビュー］−［OS］タブに「名前：WindowsXP-KB938464-x86-JPN.exe」で登録

・Windows Server 2003 SP1／SP2：
［展開ビュー］−［OS］タブに「名前：WindowsServer2003-KB938464-x86-JPN.exe」で登録

・Windows Vista SP未適用／SP1：
サポート対象外

・Windows Server 2008：
サポート対象外

・Internet Explorer 6 SP1（Windows 2000 SP4）：
［展開ビュー］−［IE］タブに「名前：IE6.0sp1-KB938464-Windows2000-x86-JPN.exe」で登録

・.NET Framework 1.0 SP3（Windows 2000 SP4）：
［展開ビュー］−［Enterprise］タブに「名前：NDP1.0sp3-KB947739-X86-Jpn.exe」で登録

・.NET Framework 1.1 SP1（Windows 2000 SP4）：
［展開ビュー］−［Enterprise］タブに「名前：NDP1.1sp1-KB947742-X86.exe」で登録

・.NET Framework 2.0 SP未適用（Windows 2000 SP4）：
［展開ビュー］−［Enterprise］タブに「名前：NDP20-KB947746-X86.exe」で登録

・.NET Framework 2.0 SP1（Windows 2000 SP4）：
［展開ビュー］−［Enterprise］タブに「名前：NDP20SP1-KB947748-x86.exe」で登録

・Office XP SP3：
［展開ビュー］−［Office］タブに「名前：officexp-KB953405-FullFile-JPN.exe」で登録

・Office 2003 SP2／SP3：
［展開ビュー］−［Office］タブに「名前：office2003-KB954478-FullFile-JPN.exe」で登録

・Office 2007 SP未適用／SP1：
サポート対象外

・Visio 2002 SP2：
サポート対象外

・Office PowerPoint Viewer 2003：
サポート対象外

・Microsoft Digital Image Suite 2006：
サポート対象外

・SQL Server 2000 Reporting Services SP2：
サポート対象外

・SQL Server 2005 SP2：
サポート対象外

・Visual Studio .NET 2002 SP1：
サポート対象外

・Visual Studio .NET 2003 SP1：
サポート対象外

・Visual Studio 2005 SP1：
サポート対象外

・Visual Studio 2008：
サポート対象外

・Microsoft Report Viewer 2005：
サポート対象外

・Microsoft Report Viewer 2008：
サポート対象外

・Visual FoxPro 8.0 SP1（Windows 2000 SP4）：
サポート対象外

・Visual FoxPro 9.0 SP1（Windows 2000 SP4）：
サポート対象外

・Visual FoxPro 9.0 SP1（Windows 2000 SP4）：
サポート対象外

・Visual FoxPro 9.0 SP2（Windows 2000 SP4）：
サポート対象外

・Microsoft Platform SDK Redistributable: GDI+：
サポート対象外

・Forefront Client Security 1.0（Windows 2000 SP4）：
サポート対象外