セキュリティ・ホールの概要と影響度

　Active Directoryが利用するLDAPサービスに、リクエストの内容を十分に検証しない脆弱性が存在し、細工されたLDAPリクエストを受信すると、任意のコードが実行されたり、サービス拒否が起きたりする。特にWindows 2000 Serverでは、ネットワーク経由のアクセスが可能であれば、匿名でも攻撃できるため、非常に危険性が高い。

　なお、Windows 2000 Professional／Windows XP／Windows Vistaおよびドメイン・コントローラではないWindows Serverは、この脆弱性の影響を受けない。

対象プラットフォーム

　今回修正プログラムが提供される環境は以下のとおりである。

適用時の注意点

■Windows 2000 Professional SP4も修正プログラムの適用対象
　前述のとおり、Windows 2000 Professionalはこの脆弱性の影響を受けない。しかしWindows Update／Microsoft Updateや自動更新などでは、Windows 2000 Professionalに対してもMS07-039の修正プログラムを適用するように促される。これは、更新対象であるntdsa.dllというファイルがWindows 2000 Professionalにも含まれているためだ。悪用される危険性はないが、脆弱性が含まれていることも確かなので、適用した方がよい。

セキュリティ・ホールの概要と影響度

　.NET Frameworkに未チェック・バッファなど3種類の脆弱性が存在し、細工されたWebページを開くだけで任意のコードが実行される危険性がある。各脆弱性の内容は以下のとおり：

• ［緊急］.NET PEローダーの脆弱性−CVE-2007-0041
  PEフォーマットの実行ファイルをWin32アプリケーションとして起動する「PEローダー」というサービスに存在する未チェック・バッファの脆弱性。

• ［緊急］.NET JITのコンパイラの脆弱性−CVE-2007-0043
  JIT（Just In Time）コンパイラに存在する未チェック・バッファの脆弱性。

• ［重要］ASP.NETのヌル・バイト・ターミネーションの脆弱性−CVE-2007-0042
  ASP.NETに入力として渡されるURLパスの検証過程における脆弱性。

対象プラットフォーム

　今回修正プログラムが提供される環境は以下のとおりである。

適用時の注意点

■複数のバージョンの.NET Frameworkには、それぞれ修正プログラムの適用が必要
　複数のバージョンの.NET Frameworkをインストールすると、各バージョンが並存する状態となる。そのため各バージョンに対応する修正プログラムをすべて適用しなければならない。

■.NET Framework 3.0にも実質的に修正プログラムの適用が必要
　.NET Framework 3.0はMS07-040の脆弱性の影響を受けないとされているが、それはあくまでもWindows Presentation Foundation（WPF）など.NET Framework 3.0固有の機能だけが対象である。.NET Framework 3.0は.NET Framework 2.0を内包しているため、.NET Framework 2.0向けの修正プログラムを適用するまでMS07-040の脆弱性は解消できない。つまり実質的には、.NET Framework 3.0もMS07-040の脆弱性の影響を受けるということだ。

■MS07-040の修正プログラム適用で生じる既知の不具合
　MS07-040の修正プログラムを適用したりアンインストールしたりすると、以下のような不具合が発生することが明らかになっている。

■MS07-040の修正プログラムの適用に失敗する不具合の発生
　セキュリティ関連の掲示板などで、MS07-040（.NET Frameworkの脆弱性）の修正プログラムの適用に失敗する事例が報告されている。症状としては、Windows Update／Microsoft Updateの「更新履歴の表示」に適用の失敗が報告され、何度もMS07-040の修正プログラムの適用が求められる、というものだ。

　マイクロソフトのセキュリティ関連部署のBlog「日本のセキュリティチームのBlog」によれば、.NET Frameworkのインストール情報の破損が原因でインストールに失敗することが考えられるという。

• 7月のセキュリティ リリース 後のまとめ（日本のセキュリティチームのBlog）

　ただしセキュリティ関連の掲示板には、上記とは別の原因とおぼしき適用失敗も報告されていることから、複数の原因があるものと思われる。

　この不具合を解消するには、.NET Frameworkを再インストールしてから修正プログラムを適用し直すことが推奨されている。.NET Frameworkの再インストールについては以下のサポート技術情報が参考になる。

• Windows XP SP2 に .Net Framework を再インストールする方法（サポート技術情報 940297）

セキュリティ・ホールの概要と影響度

　Windows XP Professionalに含まれるインターネット・インフォメーション・サービス（IIS） 5.1のWWWサービスに未チェック・バッファの脆弱性が存在し、細工されたURLのリクエストを受信すると任意のコードが実行される危険性がある。この脆弱性は以前から一般に知られており、サービス拒否を引き起こす実証コードが流布していた。（あまり多い例ではないだろうが）IIS 5.1でWebサイトを一般公開している場合は、非常に危険性が高い。

対象プラットフォーム

　今回修正プログラムが提供される環境は以下のとおりである。

適用時の注意点

■IIS 5.1のWWWサービスがインストールされている場合にのみ適用可能
　MS07-041の修正プログラムは、IIS 5.1のWWWサービスがインストールされている場合にのみ適用できる。WWWサービスがインストールされていない場合、MS07-041の脆弱性の影響は受けないので、適用する必要はない（適用しようとしてもエラーになる）。後からWWWサービスをインストールしたら、忘れずにMS07-041の修正プログラムを適用すること。