「緊急適用」の場合、すでに攻撃コードが公開されているなど、脆弱性を悪用した攻撃が開始される可能性がある。「SP待ち」の場合、現時点では危険性がそれほど高くないため、サービスパックに反映されるまで待つことが可能であることを示す。Express/Windowsメールにおけるクロスドメインの複数の脆弱性を解消する。WindowsメールのUNCナビゲーション・リクエスト処理の脆弱性は、任意のコードが実行される危険性のある脆弱性なので注意が必要だ。この脆弱性は、ウイルスに悪用される危険性が高い。Vistaを利用している場合は、至急、修正プログラムを適用した方がよい。そのほかはすべてクロスドメインの脆弱性で、情報漏えいの危険性のあるものだ。Express/Windowsメールに存在するが、攻撃は細工されたWebページをブラウザで開くことで実行される。Explorer(IE)を利用していると、攻撃を受ける危険性があるので注意が必要だ。URLリダイレクト・クロスドメインの脆弱性(CVE-2006-2111)については、すでに実証コードが公開されている。コードが実行される危険性はないものの、Cookieなどの情報が漏えいする危険性があるので、なるべく早く修正プログラムを適用した方がよい。SP1は、MS07-034のすべての脆弱性の影響を受けない。脆弱性の内容MS07-034の修正プログラムは、以下の4件の脆弱性を解消する。Mailにローカル上の任意のアプリケーションが実行される危険性」を解消する。Mailにローカル上の任意のアプリケーションが実行される危険性):http://www.hotfix.jp/archives/alert/2007/news07-0328.html#01WindowsメールがUNCのナビゲーション・リクエストを処理する方法に脆弱性が存在する。細工されたUNCのリンクを含むHTML形式の電子メールを開き、リンクをクリックすると、任意のコードが実行される危険性がある。here!」をクリックすると、ダイアログなどが表示されずにwinrm.cmdが実行される。here!</a>*誤動作防止のため<>を<>で記述している。Vulnerability):http://archives.neohapsis.com/archives/fulldisclosure/2007-03/0344.htmlKingcope氏によって報告された実行可能なファイルは、winrm.cmdとmigwiz.exeの2つのみだ。同様の手法によって実行可能なファイルはほかにも存在するとしている。攻撃は、細工したHTML形式の電子メールを送信し、リンクをユーザーにクリックさせるように誘導することで実行される。ユーザーがリンクをクリックすると、攻撃者の用意したファイル・サーバ上の実行ファイルが、ユーザーのコンピュータ上で実行されてしまう(この際、警告ダイアログが表示されるので、[はい]/[Yes]ボタンをクリックしなければ、実行ファイルは実行されない)。ウイルスやトロイの木馬のインストールに悪用される危険性がある。上述のように、すでにこの脆弱性は実証コードが公開されている。マイクロソフトによれば、現時点では攻撃に悪用された報告はないということだが、危険性は高まっているといえる。この脆弱性はWindowsメールのみ影響を受ける。7の「mhtml」URIハンドラ処理の脆弱性により、情報が漏えいする危険性」を解消する。7の「mhtml」URIハンドラ処理の脆弱性により、情報が漏えいする危険性):http://www.hotfix.jp/archives/alert/2006/news06-1025.html#01この脆弱性は、「mhtml:」URIによるリダイレクトを正確に解釈しないことに起因する。細工されたWebページを開くか、HTML形式の電子メールの細工されたリンクをクリックすると、脆弱性が悪用され、情報が漏えいする危険性がある。Express/Windowsメールに存在する。Express/Windowsメールを利用していなくても攻撃を受ける危険性があるので、修正プログラムの適用は必須である。マイクロソフトによれば、現時点では攻撃に悪用された報告はないということだが、すでにこの脆弱性に対する実証コードは公開されており、Secuniaが実証ページも公開している。悪用される危険性が高まっているので、早急に修正プログラムを適用した方がよい。CVE:CVE-2007-2225)MHTMLのプロトコル・ハンドラがMHTMLコンテンツのHTTPのヘッダを不正確に解釈することに起因する脆弱性が存在する。細工されたWebページを開くと、別のIEのセキュリティ・ゾーンまたはドメインから情報が読み出される危険性がある。Express/Windowsメールに存在する。Express/Windowsメールを利用していなくても攻撃を受ける危険性があるので、修正プログラムの適用は必須である。マイクロソフトによれば、この脆弱性は非公開で報告されたとしており、現時点では実証コードや攻撃例は確認されていないという。CVE:CVE-2007-2227)MHTMLのプロトコル・ハンドラがIEにコンテンツの場所を通知する処理方法に脆弱性が存在する。細工されたWebページを開くと、別のIEのセキュリティ・ゾーンまたはドメインから情報が読み出されたり、ファイルのダウンロードを警告するダイアログが回避されたりする危険性がある。Express/Windowsメールに存在する。Express/Windowsメールを利用していなくても、攻撃を受ける危険性があるので、修正プログラムの適用は必須である。マイクロソフトによれば、この脆弱性は非公開で報告されたとしており、現時点では実証コードや攻撃例は確認されていないという。Labでは、以下のプラットフォームで修正プログラムの適用テストを行った。2.0.1で確認可能だ。OSによって以下のいずれかが表示される。■MS07-034の修正プログラムを適用後、Webサイトを参照する際にダイアログが表示される場合があるMS07-034の修正プログラムを適用した後で、Webサイト上のWebアーカイブ・ファイル(.mht)を開こうとすると、処理を続行するかどうかを訊ねるダイアログが表示されるようになる。これは、Webサイトの.mhtファイルに適切なcontent-typeヘッダ情報が設定されていない場合に発生する。ダイアログが表示されないようにするには、Webサイト側でcontent-typeヘッダ情報を追加する必要がある(つまり利用者側で解決する方法はない)。設定方法は、「サポート技術情報:937912」を参照してほしい。......以下のファイルにパッチが適用される。障害の発生が懸念される場合は、これらのファイルのバックアップを取っておくとよい。......修正プログラムが正しく適用できたかどうかは、以下のレジストリ・キーにある値を調べることで確認できる。6.1で、今回の修正プログラムを適用するのにかかる時間を概算したもの。ネットワーク環境や適用するコンピュータの性能などによって適用時間は異なる。目安として利用してほしい。Reportは、UpdateEXPERTユーザー向けの情報を含んでいます。UpdateEXPERTは、管理者の負担を大幅に軽減するHotFix管理ツールです。UpdateEXPERTに関する詳細ならびにお問い合わせは、アップデートテクノロジー株式会社のホームページをご参照ください。Reportにご登録いただいておりますユーザー様にお送りしています。無断で複製・再配信などを行うことはできません。ついて、明示的又は黙示的な保証を行いません。本サービスの停止や欠陥、それらに起因して発生する損失や損害について、一切責任を負いません。