このページは、HotFix Reportで配信されたセキュリティ情報のバックナンバーです。「更新日」に明記された時点での情報ですのでご注意ください。ご購読の申し込みは「HotFix Report購読の申し込み」 をご参照ください。

トップページ サービスの詳細 セキュリティ情報 購読の申し込み
 
 
Windowsプラットフォーム向けHotFix情報サービス
HotFix Alert:2008/12/12版
 
【登録日】2008/12/11
【更新日】2008/12/12
HFR BBS会議室
 
深刻度
1(緊急)
  2(重要)
  3(警告)
  4(注意)
攻撃コードの有無
あり
対策
至急適用
再起動の必要性
不要(必要な場合あり)
アンインストール
不可(Visual Studio .NET 2002/2003は可)
対象環境
サーバ
クライアント
セキュリティ情報
MS08-070(日本)
MS08-070(US)
サポート技術情報
含まれる過去の修正
なし
脆弱性識別番号
MS08-070/932349
Visual Basic 6.0ランタイム拡張ファイルのメモリ破損の脆弱性により、リモートでコードが実行される危険性
(Visual Basic 6.0 ランタイム拡張ファイル (ActiveX コントロール) の脆弱性により、リモートでコードが実行される)


対応の緊急性:至急適用 [攻撃コード公開済み][攻撃事例あり]

危険性
                 
SP待ち
 
早期適用
 
緊急適用
脆弱性による危険性を示す。「緊急適用」の場合、すでに攻撃コードが公開されているなど、脆弱性を悪用した攻撃が開始される可能性がある。「SP待ち」の場合、現時点では危険性がそれほど高くないため、サービスパックに反映されるまで待つことが可能であることを示す。

可能性のある攻撃
攻撃手法
脆弱性の影響
リモート攻撃 ウイルス/ワーム 電子メール添付 Webサイトへの誘導 コードの実行 権限の昇格 情報の漏えい サービス拒否 なりすまし
     
       
 
‥‥‥ 概要 ‥‥‥

 Visual Basic 6用の複数のActiveXコントロールにメモリ破損の脆弱性が存在する。細工されたコンテンツが含まれるWebページを開いただけで、任意のコードが実行される危険性がある。トロイの木馬やウイルスがシステムの制御を奪うために、この脆弱性を悪用することが考えられる。

 
脆弱性の内容

 MS08-070の修正プログラムは、以下の6件の脆弱性を解消する。

■マスク編集コントロールのメモリ破損の脆弱性
最大深刻度 CVE番号 脆弱性の公開 実証コード 攻撃事例
緊急 CVE-2008-3704 公開済み 公開済み あり

 Internet Explorer(IE)でVisual Basic 6用のマスク編集のActiveXコントロールが利用された際、値を正しく処理せず、バッファ・オーバーフローが起こる。細工されたWebページを開いただけで、任意のコードが実行されてしまう危険性がある。なお、FrontPage 2002 SP3、Project 2003 SP3、Project 2007 SP未適用/SP1はこの脆弱性の影響を受けない。

 この脆弱性は、すでに一般に公開されており、実証コードも広く公開されている。攻撃事例も報告されていることから注意が必要だ。

・milw0rm(Microsoft Visual Studio (Msmask32.ocx) ActiveX Remote Buffer Overflow Exploit):
http://www.milw0rm.com/exploits/6317

■DataGridコントロールのメモリ破損の脆弱性
最大深刻度 CVE番号 脆弱性の公開 実証コード 攻撃事例
緊急 CVE-2008-4252 未公開 未公開 なし

 IEでVisual Basic 6用のDataGrid ActiveXコントロールが利用された際、正しく初期化されなかったActiveXコントロールのオブジェクトによってメモリ破損を引き起こす脆弱性が存在する。細工されたWebページを開いただけで、任意のコードが実行されてしまう危険性がある。なお、Visual Studio .NET 2002 SP1、Visual Studio .NET 2003 SP1、FrontPage 2002 SP3、Project 2003 SP3、Project 2007 SP未適用/SP1はこの脆弱性の影響を受けない。

■FlexGridコントロールのメモリ破損の脆弱性
最大深刻度 CVE番号 脆弱性の公開 実証コード 攻撃事例
緊急 CVE-2008-4253 未公開 未公開 なし

 IEでVisual Basic 6用のFlexGrid ActiveXコントロールが利用された際、正しく初期化されなかったActiveXコントロールのオブジェクトによってメモリ破損を引き起こす脆弱性が存在する。細工されたWebページを開いただけで、任意のコードが実行されてしまう危険性がある。なお、Visual Studio .NET 2002 SP1、Visual Studio .NET 2003 SP1、Project 2007 SP未適用/SP1はこの脆弱性の影響を受けない。

■階層FlexGridコントロールのメモリ破損の脆弱性
最大深刻度 CVE番号 脆弱性の公開 実証コード 攻撃事例
緊急 CVE-2008-4254 未公開 未公開 なし

 IEでVisual Basic 6用の階層FlexGrid ActiveXコントロールが利用された際、正しく初期化されなかったActiveXコントロールのオブジェクトによってメモリ破損を引き起こす脆弱性が存在する。細工されたWebページを開いただけで、任意のコードが実行されてしまう危険性がある。なお、Visual Studio .NET 2002 SP1、Visual Studio .NET 2003 SP1、FrontPage 2002 SP3、Project 2003 SP3、Project 2007 SP未適用/SP1はこの脆弱性の影響を受けない。

■WindowsのコモンAVI解析のオーバーフローの脆弱性
最大深刻度 CVE番号 脆弱性の公開 実証コード 攻撃事例
緊急 CVE-2008-4255 未公開 未公開 なし

 Visual Basic 6用のWindowsのコモンActiveXコントロールにAVIファイルを解析する際の割り当てエラーに起因する脆弱性が存在する。細工されたAVIファイルを含むWebページを開くと、任意のコードが実行される危険性がある。なお、FrontPage 2002 SP3はこの脆弱性の影響を受けない。

■チャート・コントロールのメモリ破損の脆弱性
最大深刻度 CVE番号 脆弱性の公開 実証コード 攻撃事例
緊急 CVE-2008-4256 未公開 未公開 なし

 IEでVisual Basic 6用チャートActiveXコントロールが利用された際、正しく初期化されなかったActiveXコントロールのオブジェクトによってメモリ破損を引き起こす脆弱性が存在する。細工されたWebページを開いただけで、任意のコードが実行されてしまう危険性がある。なお、FrontPage 2002 SP3、Project 2003 SP3、Project 2007 SP未適用/SP1はこの脆弱性の影響を受けない。

 
対象プラットフォーム

影響を受けるソフトウェア 対象プラットフォーム
Visual Basic 6.0アプリケーション Visual Basic 6.0 ランタイム拡張ファイル
Visual Studio .NET 2002 Visual Studio .NET 2002 SP1
Visual Studio .NET 2003 Visual Studio .NET 2003 SP1
Visual FoxPro 8.0 Visual FoxPro 8.0 SP1
Visual FoxPro 9.0 Visual FoxPro 9.0 SP1/SP2
Project 2003 Project 2003 SP3
Project 2007 Project 2007 SP未適用/SP1
 
‥‥‥ DA Lab:HotFixテスティング・チームからのコメント ‥‥‥

■適用テストの結果
 DA Labでは、以下のプラットフォームで修正プログラムの適用テストを行った。

プラットフォーム
適用テスト結果
Windows XP Professional SP3+Project Professional 2003 SP3
Windows Vista Business SP1+Project Professional 2007 SP未適用
○は問題なし、△は一部に問題あり、×は適用による障害あり

■MBSA 2.1の結果
 MS08-070の修正プログラムが正しく適用されているかどうかは、MBSA 2.1で確認可能だ。未適用の場合は、「Officeのセキュリティの更新」の「結果の詳細情報」に、Projectのバージョンによって以下のいずれかが表示される。Visual Basic 6.0ランタイム拡張ファイルやVisual Studio .NETなどは、MSBA 2.1でサポートされておらず、適用状態の確認はできない。

  • Microsoft Office Project 2003 セキュリティ更新プログラム: KB949045
  • Microsoft Office Project 2007 セキュリティ更新プログラム: KB949046
 
適用時の注意点

■サードパーティ製アプリケーションとともに再配布されている可能性あり
 Visual Basic 6.0ランタイム拡張ファイルは、サードパーティ製アプリケーションとともに再配布されている場合がある。以下のファイルがシステムに含まれている場合、これらのActiveXコントロールを利用するアプリケーションにおいて脆弱性の影響を受ける危険性がある。もし、システムに含まれていた場合は、ベンダに脆弱性の影響および修正プログラム提供の有無を確認した方がよい。

  • Comct232.ocx
  • Mschrt20.ocx
  • Mscomct2.ocx
  • Msdatgrd.ocx
  • Msflxgrd.ocx
  • Mshflxgd.ocx
  • Msmask32.ocx
  • Mswinsck.ocx

■Microsoft Updateなどで修正プログラムを適用できない製品がある
  MS08-070の脆弱性の影響を受ける製品のうち、Visual StudioとVisual FoxPro(Windows2000 SP4にインストールされたもの)はMicrosoft Update/WSUSでは適用できず、ダウンロード・センターから修正プログラムをダウンロードして手動適用を行う必要がある。Visual Basic 6.0ランタイム拡張ファイルは、少なくともWSUSでは適用できない。Visual Basic 6.0ランタイム拡張ファイルは、前述のとおりサードパーティ製アプリケーションとともに再配布されていることがあるため、Microsoft Update/WSUSに頼るより、そのベンダに修正プログラムの有無などを確認した方がよい。

■FrontPage 2002 SP3向けは中国語版と韓国語版にのみ適用可能
  MS08-070のFrontPage 2002 SP3向け修正プログラムは、簡体字中国語(中国)、Pan-Chinese(香港)、繁体字中国語(台湾)、韓国語のFrontPage 2002 SP3(Office XP Professional with FrontPage SP3を含む)のみに適用可能であるということだ。実際、日本語版FrontPage 2002 SP3がインストールされた環境では、Microsoft Update/Office Updateにおいて適用すべき修正プログラムとしてMS08-070は表示されない。

 
‥‥‥ 修正プログラムのダウンロード先 ‥‥‥
プラットフォーム ダウンロード・センター Office Update/MU/WSUSの表示
Visual Basic 6.0ランタイム拡張ファイル
Visual Studio .NET 2002 SP1
Visual Studio .NET 2003 SP1
Visual FoxPro 8.0 SP1
Visual FoxPro 9.0 SP1
Visual FoxPro 9.0 SP2
Project 2003 SP3 Microsoft Office Project 2003 セキュリティ更新プログラム: KB949045
Project 2007 SP未適用/SP1 Microsoft Office Project 2007 セキュリティ更新プログラム: KB949046
 
‥‥‥ 適用されるファイル情報 ‥‥‥
 以下のファイルにパッチが適用される。障害の発生が懸念される場合は、これらのファイルのバックアップを取っておくとよい。Visual Basic 6.0ランタイム拡張ファイル、Visual Studio .NET 2002 SP1/2003 SP1、Visual FoxPro 8.0 SP1/9.0 SP1/9.0 SP2の各製品のファイル情報についてはサポート対象外のため、またFrontPage 2002 SP3向けの修正プログラムは日本語版が適用対象外のため、割愛させていただく
 
Project 2003 SP3:
ファイル名 日付 バージョン サイズ
office2003-KB949045-FullFile-JPN.exe 2008/10/18 11.0.8237.0
558,992
 
ファイル名 日付 バージョン サイズ 機能
展開フォルダ %SystemRoot%\system32\
MSCOMCT2.OCX 2008/06/11 6.1.98.11
658,432
Microsoft Common Controls 2 ActiveX Control DLL
MSFLXGRD.OCX 2008/06/11 6.1.98.6
262,144
MSFlexGrid
 
Project 2007 SP未適用/SP1:
ファイル名 日付 バージョン サイズ
project2007-kb949046-fullfile-x86-glb.exe
2008/09/25 12.0.6327.5002
2,105,632
 
ファイル名 日付 バージョン サイズ 機能
展開フォルダ %SystemRoot%\system32\
MSCOMCT2.OCX 2008/09/17 6.1.98.11
658,432
Microsoft Common Controls 2 ActiveX Control DLL
 
‥‥‥ 確認方法 ‥‥‥

 修正プログラムが正しく適用できたかどうかは、置き換わるファイルのバージョンをプロパティで調べることで確認できる。

 
UpdateEXPERT上の表示

すべて サポート対象外

 

HotFix Reportは、UpdateEXPERTユーザー向けの情報を含んでいます。UpdateEXPERTは、管理者の負担を大幅に軽減するHotFix管理ツールです。UpdateEXPERTに関する詳細ならびにお問い合わせは、アップデートテクノロジー株式会社のホームページをご参照ください。
 
Copyright (C) Digital Advantage Corp.
このメールは、HotFix Reportにご登録いただいておりますユーザー様にお送りしています。
無断で複製・再配信などを行うことはできません。 このメールに関する問い合わせ先:info@hotfix.jp
HotFix Reportでは、細心の注意を払って情報提供を行っておりますが、本サービスにおける情報の正確性、最新性、適切性などについて、明示的又は黙示的な保証を行いません。また本サービスの停止や欠陥、それらに起因して発生する損失や損害について、一切責任を負いません。