WordやOutlookが、細工されたWordファイル／RTFファイルを表示する際にメモリ破損などが起こり、任意のコードが実行される危険性がある。

　攻撃としては、細工したWordファイル／RTFファイルをWebページ上に置くか、電子メールの添付ファイルとして送信し、それをユーザーに開かせるように誘導することで実行される可能性が高い。Internet Explorer（IE）＋Word 2000の環境では、警告ダイアログなどは表示されずにWordファイルがIEのブラウザ・ウィンドウ内で直接表示されるため、細工されたWordファイルへのリンクをクリックするだけで攻撃が実行されてしまうので注意が必要だ（Word 2002／2003／2007では、［ファイルのダウンロード］ダイアログが表示される）。またWord 2007をデフォルトのままOutlook 2007の電子メール・エディタとして利用している場合も、対話的操作なしで攻撃が実行される可能性があるので注意したい。

　MS08-072の修正プログラムは、以下の8件の脆弱性を解消する。

　Wordが、細工されたWordファイルを開いた際にメモリ破損が起こり、任意のコードが実行される危険性がある。

　なおCVE-2008-4024の脆弱性はWord 2000／2002のみ影響を受ける。またOutlook 2007 SP未適用／SP1は、CVE-2008-4026／CVE-2008-4837の脆弱性の影響を受けない。

　WordやOutlookが、細工されたRTFファイルのコントロール・ワードを処理する過程でメモリの計算エラーを起こすことに起因する脆弱性が存在する。細工されたRTFファイルを開くと、任意のコードが実行される危険性がある。

■適用テストの結果
　DA Labでは、以下のプラットフォームで修正プログラムの適用テストを行った。

■MBSA 2.1の結果
　修正プログラムが正しく適用されているかどうかは、MBSA 2.1で確認可能だ。未適用の場合は、「Officeのセキュリティの更新プログラム」の「結果の詳細情報」に以下のいずれかが表示される。Word 2000は、MSBA 2.1でサポートされておらず、適用状態の確認はできない。

• Microsoft Word 2002 セキュリティ更新プログラム: KB956329
• Microsoft Office Word 2003 セキュリティ更新プログラム: KB956357
• Microsoft Office Word Viewer 2003 セキュリティ更新プログラム: KB956366
• Microsoft Office Word 2007 セキュリティ更新プログラム: KB956358
• 2007 Microsoft Office system セキュリティ更新プログラム: KB956828

■Word向けとOffice互換機能パック向けの修正プログラムはそれぞれ適用が必要
　Office 2000／XP／2003にOffice互換機能パック＊をインストールしている場合、それぞれのWord 2000／2002／2003向けの修正プログラムに加え、Office互換機能パック向けの修正プログラムの適用が必要である。同様に、後から Office互換機能パックをインストールした場合も、MS08-072のOffice互換機能パック向け修正プログラムを忘れずに適用したい。

　両方の修正プログラムを適用しないと、MS08-072の脆弱性は解消されない。

＊Office互換機能パックは、Office 2000／XP／2003において、Word／Word／PowerPoint 2007のファイル形式の文書、ブック、プレゼンテーションを読み込んで、その編集や保存を可能にする機能を提供するもの

■Outlook 2007専用修正プログラムはない
　「TechNetセキュリティ情報：MS08-072」からダウンロード・センターを介してダウンロード可能なOutlook 2007向け修正プログラム（KB956358）は、Word 2007と共通のものであり、Outlook 2007専用ではない。そのため、Word 2007に対してMS08-072の修正プログラムが適用済みであれば、Outlook 2007のために再適用の必要はない。またOutlook 2007単体版にはこの修正プログラムを適用できない（適用する必要もない）。

■Word 2000向けはOffice Updateで提供
　MS08-072のWord 2000向けの修正プログラムは、ダウンロード・センターとOffice Updateで提供されている。Microsoft UpdateはWord 2000に対応していないため、MS08-072のWord 2000向けの修正プログラムは表示されないので注意が必要だ（自動更新でも適用されない）。ダウンロード・センターで修正プログラムを入手して手動で適用を行うか、Office Updateを実行する必要がある。

　なおWord 2002／2003／2007、Outlook 2007、Word Viewer 2003、Office互換機能パック向けの修正プログラムは、Microsoft Updateで提供されるため、ほかのセキュリティ修正プログラムとともに選択・適用が可能だ。

■修正プログラムのアンインストールに必要な条件
　Word 2002／2003／2007向けの修正プログラムは、以下の条件を満たせばアンインストール可能である。

• OSがWindows XP SP2／SP3、Windows Server 2003 SP1／SP2、Windows Vista、Windows Server 2008のいずれか
• Windows Installer 3.0以降をインストールした後で修正プログラムを適用
• OfficeのインストールCDにアクセス可能

　修正プログラムが正しく適用できたかどうかは、置き換わるファイルのバージョンをプロパティで調べることで確認できる。

・Word 2000（Office 2000 SP3）：
［展開ビュー］−［Office］タブに「名前：office2000-KB956328-FullFile-JPN.exe」で登録

・Word 2002（Office XP SP3）：
［展開ビュー］−［Office］タブに「名前：officexp-KB956329-FullFile-JPN.exe」で登録

・Word 2003（Office 2003 SP3）：
［展開ビュー］−［Office］タブに「名前：office2003-KB956357-FullFile-JPN.exe」で登録

・Word Viewer 2003 SP未適用／SP3：
サポート対象外

・Word 2007（Office 2007 SP未適用／SP1）：
サポート対象外

・Outlook 2007（Office 2007 SP未適用／SP1）：
サポート対象外

・Office互換機能パック：
サポート対象外