「緊急適用」の場合、すでに攻撃コードが公開されているなど、脆弱性を悪用した攻撃が開始される可能性がある。「SP待ち」の場合、現時点では危険性がそれほど高くないため、サービスパックに反映されるまで待つことが可能であることを示す。Language(VML)描画ライブラリに未チェック・バッファの脆弱性が存在し、リモートで任意のコードが実行される危険性がある。VMLは、Web上で線や円といったベクタ・グラフィックスを描画可能にする、XMLベースの言語である。細工されたWebページやHTML形式の電子メールを開くだけで攻撃が実行されてしまうので、危険性が非常に高い。Webページでの悪用では、スパイウェアなどのインストールに利用されることが懸念される。電子メール添付型のウイルスに悪用される可能性も高い。マイクロソフトによれば、MS07-050の脆弱性は非公開で報告されたとしており、現時点では実証コードや攻撃事例は見つかっていないという。Securityがこの脆弱性に関するレポートを公開した。レポートには、攻撃コード作成のヒントになる情報も含まれている。過去のVMLの脆弱性(MS06-055/MS07-004)では、攻撃例が報告されている。このことから、MS07-050の脆弱性も、早々に実証コードが公開され、悪用される可能性は高いものと思われる。至急、修正プログラムを適用した方がよい。Vulnerability):http://research.eeye.com/html/advisories/published/AD20070814a.html脆弱性の内容VMLの描画ライブラリ「vgx.dll」に未チェック・バッファの脆弱性が存在する。レンダリングのリクエストを十分に検証しないことから、細工されたリクエストを受け取ると、バッファ・オーバーフローが発生し、任意のコードが実行されてしまう。この脆弱性は、Webページを開くだけで、ほかのユーザーの操作なしに悪用されてしまうので注意が必要だ。Explorer(IE)以外のVMLを利用するアプリケーションでも、脆弱性が悪用される危険性がある。IEを利用していなくても、修正プログラムを適用した方がよい。Labでは、以下のプラットフォームで修正プログラムの適用テストを行った。2.0.1で確認可能だ。未適用の場合は、「Windowsのセキュリティの更新」の「結果の詳細情報」に、IEのバージョンによって以下のいずれかが表示される。Explorerのバージョンによって適用する修正プログラムが異なるMS07-050の修正プログラムは、インストールされているIEのバージョンによって適用するものが異なっている。異なるIE向けの修正プログラムを適用しようとすると、セットアップ・エラーとなるので注意が必要だ。手動で適用する場合は、事前にインストールされているIEのバージョンを確認した上で実行する必要がある。回避策の「vgx.dllの登録を解除する」を実施した場合は、MS07-050の修正プログラムを適用した後にvgx.dllの再登録を忘れないようにすること。そのままだと、VMLのコンテンツが再生できない。Labで試した限りでは、MS07-050の修正プログラムの適用前にvgx.dllの登録が解除されていても、適用そのものに不具合は発生しなかった。......以下のファイルにパッチが適用される。障害の発生が懸念される場合は、これらのファイルのバックアップを取っておくとよい。Rendering(VML)*展開フォルダは、%SystemRoot%\winsxs\以下を示す。......修正プログラムが正しく適用できたかどうかは、以下のレジストリ・キーにある値を調べることで確認できる。......何らかの理由で直ちに修正プログラムを適用できない場合には、以下に示す方法で回避が可能だ。この回避策は、脆弱性を根本的に解決するものではない。■vgx.dllの登録を解除する脆弱性があるvgx.dllの登録を解除し、vgx.dllが呼び出されないようにすることで攻撃を回避可能だ。vgx.dllは、以下の操作で登録を解除できる[スタート]−[ファイル名を指定して実行]メニューを選択する。[ファイル名を指定して実行]ダイアログの「名前」に以下のコマンドを入力して[OK]ボタンをクリックする。......)のダイアログが表示されるので、[OK]ボタンをクリックする。以上で、Vgx.dllは登録が解除され、利用できなくなる。そのため、VMLを利用したアプリケーションで、描画が行われなくなるので注意が必要だ。登録を行うには、以下のコマンドを実行すればよい。6.1で、今回の修正プログラムを適用するのにかかる時間を概算したもの。ネットワーク環境や適用するコンピュータの性能などによって適用時間は異なる。目安として利用してほしい。Reportは、UpdateEXPERTユーザー向けの情報を含んでいます。UpdateEXPERTは、管理者の負担を大幅に軽減するHotFix管理ツールです。UpdateEXPERTに関する詳細ならびにお問い合わせは、アップデートテクノロジー株式会社のホームページをご参照ください。Reportにご登録いただいておりますユーザー様にお送りしています。無断で複製・再配信などを行うことはできません。ついて、明示的又は黙示的な保証を行いません。本サービスの停止や欠陥、それらに起因して発生する損失や損害について、一切責任を負いません。