セキュリティ・ホールの概要と影響度

　Office 2003のポルトガル語（ブラジル）版の文章校正プログラムに未チェック・バッファの脆弱性が存在し、任意のコードが実行される危険性がある。細工されたOffice文書を開くだけで攻撃が実行されるので危険性は高いが、日本語版のOffice 2003にはこの機能は含まれておらず、脆弱性の影響を受けることはない。

　脆弱性の対象となる環境は、（1）ポルトガル語（ブラジル）版のOffice 2003、（2）Office 2003／Project 2003／Visio 2003の各Multilingual User Interface（MUI）版でポルトガル語（ブラジル）文章校正プログラムを有効にしている場合、（3）文章校正プログラムOffice Proofing Tools 2003をインストールし、さらにポルトガル語（ブラジル）の文章校正プログラムを有効にしている場合、の3つである。

　（3）のOffice Proofing Tools 2003はOffice 2003日本語版でも利用できるので、これを追加インストールしている場合や、海外（特にブラジル圏）と取引のある企業でOffice 2003 MUI版を使っているような場合はインストールしておくべきである。

対象プラットフォーム

　今回修正プログラムが提供される環境は以下のとおりである。

適用に関する注意点

■スペイン語版も脆弱性の影響を受ける可能がある
　TechNetセキュリティ情報の「このセキュリティ更新プログラムに関するよく寄せられる質問」によれば、MS07-001の脆弱性は、ポルトガル語（ブラジル）版だけでなく、スペイン語版についても修正プログラムを適用することを推奨している。スペイン語版の文章校正プログラムをインストールしている場合も、修正プログラムを適用しておくのがよい。

セキュリティ・ホールの概要と影響度

　Excelに関する5種類の脆弱性が公表され、そのための修正プログラムが公開された。細工されたXLSファイルを開くと、レコード処理や文字列処理などでメモリ破損が引き起こされ、リモートで任意のコードが実行される危険性がある。対象となる脆弱性は以下のとおりである。

• Excelの不正な形式のIMDATAレコードの脆弱性（深刻度：緊急 CVE：CVE-2007-0027）
• Excelの不正な形式のレコードの脆弱性（深刻度：緊急 CVE：CVE-2007-0028）
• Excelの不正な形式の文字列の脆弱性（深刻度：緊急 CVE：CVE-2007-0029）
• Excelの不正な形式の列のレコードの脆弱性（深刻度：緊急 CVE：CVE-2007-0030）
• Excelの不正な形式のパレット・レコードの脆弱性（深刻度：緊急 CVE：CVE-2007-0031）

対象プラットフォーム

　今回修正プログラムが提供される環境は以下のとおりである。

適用に関する注意点

■Excel 2000の修正プログラムで不具合発生につき、適用を見合わせる必要あり
　MS07-002は（Office 2000の）Excel 2000も対象としているが、この修正プログラム（2007年1月10日に公開された版）を適用すると、.XLSファイルが開けなくなることがある、という不具合が確認されている。セキュリティ関連の掲示板やメーリング・リストなどでも不具合例などが多数報告されており、不具合の発生率は非常に高い。

• セキュリティ情報 MS07-002 に記載されているセキュリティ更新プログラム 925524 のインストール後に Excel 2000 で一部のファイルを開くことができない（マイクロソフトサポート技術情報）

　この不具合を避けるための対策は「MS07-002をインストールしないこと」である。1度インストールしてしまうと、この修正プログラムだけを単独でアンインストールすることはできない（Office 2000向けの修正プログラムはアンインストール機能を持たない）。もしインストールしてしまった場合は、Excel 2000（Office 2000）のアンインストールと再インストールが必要になる。そのため、当面はExcel 2000用のMS07-002はインストールしないようにするべきである。過去の例では、このような場合は修正プログラムが再リリースされるので、それまで適用を待つのがよい。ただし、それまではMS07-002で説明される脆弱性が解消できないので、信用できないExcel文書は開かない、あるいはExcel 2000の代わりにExcel 2002／2003やExcel Viewer 2003を利用する、といった回避策を実行する必要がある。

■Excel 2000向けはOffice Updateで提供
　Excel 2000向けのMS07-002の修正プログラムはダウンロード・センターとOffice Updateで提供されている。自動更新やWindows Update、Microsoft Updateでは提供されないため、必要ならば手動でOffice Updateなどを実行し、適用する必要がある。ただし上記のように、当初公開された修正プログラムでは不具合が見つかっているため、当面は適用を行わないようにしていただきたい。