Windows HotFix Briefings ALERT セキュリティ情報 ― 2007年10月版 3．そのほかのセキュリティ、修正プログラム関連情報 DA Lab Windowsセキュリティ 2007/10/15

※ 本HotFix Briefingsでは、Windows関連の修正プログラム情報、セキュリティ・ホール（脆弱性）情報について、月1回のダイジェストでお知らせします。

■Windows OSのFindFile()関数にバッファ・オーバーフローの脆弱性

　Windows OSのクラス・ライブラリの一種であるMFC42とMFC71に含まれるFindFile()関数に、バッファ・オーバーフローの脆弱性が存在することが報告された。悪用されると、脆弱性の影響を受けるMFCを利用したアプリケーションを介して、リモートから攻撃を受ける危険性がある。セキュリティ・ベンダのSecuniaによれば、Windows XP SP2に含まれるmfc42.dll（バージョン6.2.4131.0）とmfc42u.dll（バージョン6.2.8071.0）に脆弱性が存在するとしている。

• Microsoft Windows CFileFind Class "FindFile()" Buffer Overflow（Secunia）

　現在のところ、この脆弱性に関するマイクロソフトの正式な発表や修正プログラムの提供はない。

• この問題に関するディスカッション・スレッド（HotFix Report BBS）

■MS07-042の対象にOffice互換機能パックなどが追加

　マイクロソフトはMS07-042の脆弱性の影響を受けるソフトウェアとして、新たにOffice互換機能パックとMicrosoft Expression Webを追加した。

• XML コア サービスの脆弱性により、リモートでコードが実行される（TechNetセキュリティ情報 MS07-042）

　これらのソフトウェアを利用している場合は、MS07-042の修正プログラムを適用する必要がある。

　また同社は、MS07-042のMSXML 4.0向け修正プログラムをWindows Vistaに適用すると、互換性／信頼性の問題が発生することも明らかにした。

• Windows Vista ベースのコンピュータで、Microsoft XML Core Services 4.0 Service Pack 2 の互換性と信頼性を向上させる更新プログラムについて（サポート技術情報 941833）
• Microsoft XML コア サービス 4.0 Service Pack 2 用の更新プログラム (KB941833)（ダウンロード・センター）

　何らかの不具合が発生している場合は、上記の不具合修正プログラムの適用を検討するとよい。

• この問題に関するディスカッション・スレッド（HotFix Report BBS）

■Office 2003向けサービスパック3の提供開始

　 マイクロソフトは、Office 2003ファミリ向けサービスパック3（SP3）の提供を開始した。対象の各製品と対応するSP3の修正点の解説ページ、ダウンロード・ページは以下のとおり。

KB番号	概要	対象ソフトウェア／ダウンロード・ページ	HFRBBSのスレッド
923618／938790／938792／938799／938801／938802	Office 2003 SP3	Office 2003	7207
923633	OneNote 2003 SP3	OneNote 2003	7207
923620	Visio 2003 SP3	Visio 2003	7207
923622	Project 2003 SP3	Project 2003	7207
923645	Project Server 2003 SP3	Project Server 2003	7207
934736	Word Viewer 2003 SP3	Word Viewer 2003	7207
934737	Excel Viewer 2003 SP3	Excel Viewer 2003	7207
923643	Windows SharePoint Services 2.0 SP3	Windows SharePoint Services 2.0／Windows SharePoint Services 2.0 Language Template Pack	7207
923644	SharePoint Portal Server 2003 SP3	SharePoint Portal Server 2003	7207

　Office 2003 SP3では、SP1／SP2の更新内容に加え、MS06-003からMS07-044までのセキュリティ修正プログラム、不具合修正プログラムも含まれている。

　その一方で、Office 2003 SP3をインストールすることで、Word 2003の高速保存機能が機能しなくなる、ファイルを開いたり保存したりするとエラー・メッセージが表示される、などの不具合が発生することが明らかになっている。SP3の公開から最低12カ月間は従来のSP2もサポートされるので、SP3の不具合がある程度解消されてからSP3のインストールを開始してもよいだろう。

• この問題に関するディスカッション・スレッド（HotFix Report BBS）

■Windows Vistaに対する複数の不具合修正プログラムの提供開始

　2007年9月下旬から10月上旬にかけて、マイクロソフトはWindows Vistaに対する9件の不具合修正プログラムの提供を新たに開始した。

KB番号	概要	対象ソフトウェア／ダウンロード・ページ	HFRBBSのスレッド
932385	IIS 7.0でCGIアプリケーションが誤動作する	Windows Vista	7212
933228	OpenSSLを利用しているWebサイトがInternet Explorer 7で閲覧できない	Windows Vista	7213
938126	新たなWindows Media Center ExtenderをMedia Centerに接続するための修正プログラム	Windows Vista	7215
939786	管理者の特権のないアプリケーションがHTTPトラフィックをリッスンできない	Windows Vista	7214
940520	Windows Vistaでバックグラウンド・インテリジェント転送サービス（BITS）がクラッシュする	Windows Vista	7225
941229	Media Centerの累積的な修正プログラム2007年10月版	Windows Vista	7225
941600	USBコア・コンポーネントの累積的な修正プログラム	Windows Vista	7225
941649	互換性と信頼性、安定性を高めるための修正プログラム	Windows Vista	7225
941651	Windows Media Player 11の累積的な修正プログラム	Windows Vista	7225

　上表にはWindows Update／自動更新で提供されていない修正プログラムも存在する。該当する不具合を解消するには、ダウンロード・センターからインストール・パッケージを入手して適用する必要がある。

• この問題に関するディスカッション・フォーラム（HotFix Report BBS）

■Windows XPのOEMライセンスの提供期間が延長

　マイクロソフトは、Windows XPのOEMライセンスの提供終了日を従来の2008年1月31日から2008年6月30日に延期することを発表した。

• Microsoft Windows XPの正規OEMライセンス提供期間を2008年6月30日まで延長（マイクロソフト）

　これにともない、PCベンダからのWindows XP搭載PCの生産も2008年6月30日まで延長されることになる。PCショップなどでOEM版として購入可能なWindows XPのOEM正規販売代理店ライセンス（DSP版）の提供は、2009年1月31日までと、これまでと変更はない。

• この問題に関するディスカッション・スレッド（HotFix Report BBS）

■QuickTime関連の脆弱性を解消したFirefox 2.0.0.7の提供開始

　Mozilla Foundationは、QuickTimeとの組み合わせで任意のコマンドが実行できる脆弱性を解消したFirefox 2.0.0.7の提供を開始した。

• Firefox 2.0.0.7 リリースノート（Mozilla Japan）
• Firefox - ダウンロード（Mozilla Japan）

　Firefox 2.0を利用している場合は、Firefoxを起動していると自動的に［ソフトウェア更新］ダイアログが表示され、更新が促されるようになっている（デフォルト設定の場合）。指示に従って更新版パッケージをインストールした後、Firefoxを再起動することでバージョンアップが行われる。

• この問題に関するディスカッション・スレッド（HotFix Report BBS）

■QuickTimeの脆弱性を解消する修正プログラムの提供開始

　アップルジャパンは、QuickTimeとWebブラウザなどのアプリケーションとの組み合わせで任意のコマンドが実行できる脆弱性を解消する修正プログラムの提供を開始した。

• QuickTime 7.2 のセキュリティアップデートについて（アップル）
• Security Update for QuickTime 7.2 for Windows（アップルジャパン）

　この修正プログラムはQuickTime 7.2用のため、QuickTimeのバージョンが7.2より古い場合は、あらかじめ7.2に更新してから適用する必要がある。QuickTime本体は以下のページからダウンロードできる。

• QuickTime - ダウンロード（アップルジャパン）

　QuickTimeなどアップルのソフトウェア製品のバージョンアップは、Apple Software Updateでも実施できる。これは最近のQuickTimeやiTunesなどと一緒にインストールされるツールで、これらのソフトウェアの新バージョンが利用可能になると自動的に通知し、そのダウンロードおよびインストールを実行できる。

• この問題に関するディスカッション・スレッド（HotFix Report BBS）

■新たに公開された主要なサービスパックや修正プログラム

KB番号	概要	対象ソフトウェア／ダウンロード・ページ	HFRBBSのスレッド
Windows OS
931678	Internet Explorer 7でポップアップ・ウィンドウを閉じるとアクセス違反が生じる	Windows XP	−
938680	SAN環境でWinsock Directに不具合が生じる	Windows Server 2003	7261
940349	ボリューム・シャドウ・コピー・サービスの累積的な修正プログラム	Windows Server 2003	7261
941776	Windows Media Player 11で表示される単語の翻訳が間違っている	Windows XP	−
942239	Windows Server 2008 ベータ3をRC0にアップグレードするとディスクやストレージの設定が失われる	Windows Server 2008 ベータ3	−
−	セットアップ時のWGAによる認証を廃したInternet Explorer 7	Windows XP／Windows Server 2003	7233
−	Windows Server 2008 RC0	Standard Edition／Enterprise Edition／Datacenter Edition／Web Server	7211
サーバ・ソフトウェア
929556	ISA Serverファイアウォール クライアント2006年12月版	Windows 2000／Windows XP／Windows Server 2003／Windows Vista	−
940312	Host Integration Server 2004 SP1	Host Integration Server 2004	−
941395	SMS 2003クライアント向けロールアップ修正プログラム	SMS 2003クライアント	−
941678	GroupBoard Workspace 2007がインストールされていると「SharePoint 製品およびテクノロジ構成ウィザード」が完了しない	GroupBoard Workspace 2007	−
−	Office Live Meeting Intranet Portal SP2	Office Live Meeting	−
Office
926054	Office 2007 Open XML Format converters向けAdministrative Template（ADM) SP1	Windows XP／Windows Server 2003／Windows Vista	−
−	Office 2007向けAdministrative Templates（ADM） SP1	Windows XP／Windows Server 2003／Windows Vista／Windows Server 2008	−
そのほか
890830／891716	Windows 悪意のあるソフトウェアの削除ツール Ver. 1.34	Windows XP／Windows Server 2003／Windows Vista	−
−	Internet Explorer Administration Kit（IEAK） 7 RTM	Windows XP／Windows Server 2003／Windows Vista	−

INDEX
	［Windows HotFix Briefings ALERT］
	1．緊急レベル4件を含む6件のセキュリティ修正が公開（1）
	2．緊急レベル4件を含む6件のセキュリティ修正が公開（2）
	3．そのほかのセキュリティ、修正プログラム関連情報

Windows HotFix Briefings

＠ITメールマガジン　新着情報やスタッフのコラムがメールで届きます（無料）