マイクロソフト セキュリティ情報 MS03-037

技術的な説明 :
Microsoft VBA はクライアント デスクトップ パッケージのアプリケーションの開発および既存のデータおよびシステムにそれらを統合するための開発技術です。Microsoft VBA は Microsoft Visual Basic 開発システムを基本にしています。Microsoft Office 製品には、VBA が含まれ、VBA を利用して特定の機能が実行されます。また VBA は、既存のホスト アプリケーションを基にするカスタマイズ アプリケーションを構築するために使用することができます。

ホスト アプリケーションで文書が開かれる際に、VBA に渡される文書プロパティを VBA がチェックする方法に問題が存在します。攻撃者がこの脆弱性を悪用した場合、バッファ オーバーランが起こり、それにより、攻撃者はログオンしたユーザーのコンテキストで任意のコードを実行する可能性があります。

攻撃者がこの攻撃を実行するには、攻撃者が特別に作成し、ユーザーに送信した文書をユーザーが開くことが攻撃者にとっての必要条件となります。Word 文書、Excel ワークシート、PowerPoint プレゼンテーションなど、VBA をサポートするすべての文書形式がこの脆弱性の影響を受ける可能性があります。Microsoft Outlook の HTML 形式の電子メールのエディタとしてMicrosoft Word が使用されている場合、電子メールがこの脆弱性の影響を受ける可能性があります。しかし、攻撃者がこの脆弱性を悪用するには、ユーザーがこのメールに返信する、または転送することが攻撃者にとっての必要条件となります。

問題を緩和する要素 :

• 攻撃者がこの脆弱性が悪用するには、攻撃者が送信した文書をユーザーが開くことが攻撃者にとっての必要条件となります。
• Microsoft Outlook の HTML 形式の電子メールのエディタとして Microsoft Word が使用されている場合、攻撃者がこの脆弱性を悪用するには、ユーザーが送信された悪質な電子メールの文書に返信する、またはそれを転送することが攻撃者にとっての必要条件となります。
• 攻撃者のコードは、ログオンしたユーザーと同じ権限のみで実行される可能性があります。したがって、攻撃者がこの脆弱性を悪用することによって獲得する恐れのある権限は、そのユーザーに許可された権限によって異なります。グループ ポリシーによって適用された制限など、ユーザー アカウントのすべての制限により、この脆弱性を悪用することによって実行される任意のコードで実行できる動作もすべて制限されます。

深刻度 :

上記の評価はこの脆弱性の影響を受けるシステムの種類、システムの典型的な展開形式およびこの脆弱性がシステムに及ぼす影響に基づいています。

脆弱性識別番号 :
CAN-2003-0347

テストしたバージョン :
マイクロソフトは Microsoft Visual Basic for Applications SDK 5.0、Microsoft Visual Basic for Applications SDK 6.0、Microsoft Visual Basic for Applications SDK 6.2 および Microsoft Visual Basic for Applications SDK 6.3 のテストを行い、これらの脆弱性による影響を評価しました。また、マイクロソフトは「影響を受けるソフトウェアを含む製品」の欄に記載されているソフトウェアのサポートされるすべてのバージョンに関して調査を行い、それぞれにこの脆弱性の影響を受けるソフトウェアが含まれるかどうかを確認しました。それ以前のバージョンに関してはサポートの対象となっていないため、これらの脆弱性による影響は不明です。

どのようなことが起こる可能性がありますか?

これはバッファ オーバーランの脆弱性です。攻撃者はこの脆弱性を悪用し、特別に細工をした不正な文書をユーザーが開いた場合、ユーザーのコンピュータ上で、そのユーザーのセキュリティ コンテキストで任意のコードが実行される可能性があります。

何が原因で起こりますか?

文書が開かれる際にホスト アプリケーションから渡される特定の文書プロパティを Microsoft Visual Basic for Applications (VBA) がチェックする方法に問題が存在するため、この脆弱性が起こります。そのため、ホスト アプリケーションが Microsoft VBA に未チェックのパラメータを渡し、バッファ オーバーランの状態が起こり、攻撃者の任意のコードが実行される可能性があります。

Microsoft VBA とは何ですか?

Microsoft VBA はクライアント デスクトップ パッケージのアプリケーションの開発および既存のデータやシステムにそれらを統合するための開発技術です。Microsoft VBA は Microsoft Visual Basic 開発システムを基本にしています。Microsoft VBA は プロジェクト ウインドウ、プロパティ ウインドウおよびデバッグ ツールなど、Microsoft Visual Basic を使用する開発者に一般的に使用される同じ要素を特徴づける統合開発環境 (IDE) を提供します。また、Microsoft VBA には、カスタム ダイアログ ボックスを作成する Microsoft フォーム、ユーザー インターフェイスを構築するための ActiveX® コントロールも含まれます。VBA は直接ホスト アプリケーションに統合されます。VBA を含むソフトウェア プログラムは、カスタマイズ アプリケーション （特定のビジネス ニーズに合わせて作成することができるアプリケーション） と呼ばれています。Microsoft Office は Microsoft VBA が組み込まれる多くのアプリケーションのうちの 1 つで、ユーザーは Microsoft Office を基にカスタム アプリケーションを開発することができます。Microsoft VBA が組み込まれているマイクロソフト以外のアプリケーションもあります。

Microsoft VBA の何が問題になっていますか?

Microsoft VBA をサポートするアプリケーションによって文書が開かれた場合、そのホスト アプリケーションはその文書に Microsoft VBA が必要であるかどうかを決定するチェックを行い、その後 Microsoft VBA が読み込まれます。この最初のチェックの際に、Microsoft VBA にいくつかの文書プロパティが渡されます。この最初の段階で、Microsoft VBA に渡されるデータを Microsoft VBA が適切に検証しないために問題が起こります。

これは Microsoft Office で文書の適切なセキュリティチェックが行われないという意味ですか?

いいえ。問題は、すべてのセキュリティ チェックが行われる前に開始されるプロセスに存在します。この問題は、開かれている文書を処理するためにホスト アプリケーションで Microsoft VBA が必要であるかを決定するための最初のチェックに存在します。そのため、脆弱性が悪用された際にはマクロ保護チェックなどのすべてのセキュリティ チェックが行われていません。

この脆弱性により攻撃者は何ができますか?

この脆弱性により、攻撃者はログオンしたユーザーのコンテキストで任意のコードを実行する可能性があります。

攻撃者はどのようにこの脆弱性を悪用する可能性がありますか?

攻撃者は、この脆弱性を悪用するために特別に作成した文書をユーザーに送信し、その文書を開くようにユーザーを誘導しようとすることで、この脆弱性を悪用する可能性があります。ユーザーが自分のコンピュータ上でその文書を開いた場合、そのコンピュータ上で、ログオンしたユーザーのセキュリティ コンテキストで任意のコードが実行される恐れがあります。Microsoft Outlook の電子メール エディタとして Microsoft Word が使用されている場合 （これは Office XP の既定の設定となります）、攻撃者が特別に作成した電子メールに返信するか、転送した場合、任意のコードが実行される可能性があります。

攻撃者は悪質な文書を作成し、それを Web ページにホストし、その後、ユーザーをその Web サイトに誘導することによって、この脆弱性を悪用する可能性があります。ユーザーがそのようなサイトを訪問し、文書へのリンクをクリックした場合、その文書が自動的に開かれ、その結果攻撃者の任意のコードが実行される可能性があります。

Microsoft Word を電子メールエディタとして使用している場合、電子メールを読むだけでこの脆弱性が悪用される可能性がありますか?

いいえ。電子メールを読むだけではこの脆弱性は悪用されません。ユーザーが攻撃者の電子メールに返信するか、または転送した場合に、この脆弱性が悪用されます。

更新プログラムは何を修正しますか?

この更新プログラムは、文書が開かれる際に、ホスト アプリケーションによって Microsoft VBA に渡されるデータが Microsoft VBA によって適切にチェックが行われるように修正し、この脆弱性を排除します。

この脆弱性に対する更新プログラムには多くの種類がありますが、どれをインストールする必要がありますか?

この脆弱性に対する更新プログラムは、Microsoft VBA のバージョンおよび使用しているホスト アプリケーションによって異なります。

Microsoft VBA 用更新プログラム 

以下のアプリケーションを使用している場合、Microsoft VBA 用の更新プログラムを適用する必要があります。

• Microsoft VBA 5.0
• Microsoft VBA 6.0
• Microsoft VBA 6.2
• Microsoft VBA 6.3.
• Microsoft Access 97
• Microsoft Excel 97
• Microsoft PowerPoint 97
• Microsoft Word 97
• Microsoft Word 98 (日本語版)
• Microsoft Works 2001
• Microsoft Works 2002
• Microsoft Works Suite 2003
• Microsoft Business Solutions Great Plains 7.5
• Microsoft Business Solutions Dynamics 6.0
• Microsoft Business Solutions Dynamics 7.0
• Microsoft Business Solutions eEnterprise 6.0
• Microsoft Business Solutions eEnterprise 7.0
• Microsoft Business Solutions Solomon 4.5
• Microsoft Business Solutions Solomon 5.0
• Microsoft Business Solutions Solomon 5.5

Microsoft Project 2000、Microsoft Project 2002 および Microsoft Visio 用の更新プログラム :

Microsoft Project または Microsoft Visio を使用している場合、それらの製品向けの更新プログラムを適用する必要があります。

Microsoft Office 2000 and Microsoft Office XP 用の更新プログラム :

Microsoft Office 2000 または Microsoft Office XP (Publisher 2002 を含む) を使用している場合、それらの製品向けの更新プログラムを適用する必要があります。

上記の製品のうち、複数の製品を使用しています。それぞれの製品向けの特定の更新プログラムを適用する必要がありますか?

はい。上記のそれぞれの製品向けの更新プログラムをすべて適用する必要があります。たとえば、Microsoft Office XP および Microsoft Visio 2000 を使用している場合、Microsoft Office XP 向けの更新プログラムおよび Microsoft Visio 向けの更新プログラムの両方を適用する必要があります。

使用している Microsoft VBA のバージョンはどのように確認することができますか?

VBA がコンピュータ上に存在するかどうかのチェック、また使用している VBA のバージョンのチェックを行うには、以下のファイルのファイルバージョンを確認してください。（C:\ は使用しているシステム ドライブとなります）

• 以下のファイルが存在する場合、VBA 5.0 を使用していることになります。
  C:\Program Files\Common Files\Microsoft Shared\VBA\vbe.dll
• 以下のファイルが存在する場合、VBA 6.0 を使用していることになります。
  C:\Program Files\Common Files\Microsoft Shared\VBA\VBA6\vbe6.dll

Microsoft VBA を使用するマイクロソフト以外の製品を使用しています。何をする必要がありますか?

マイクロソフトは Microsoft VBA を使用するアプリケーションの開発を行っているサード パーティと協力し、このセキュリティ上の脆弱性について認識しているか、またそれらの製品に組み込む必要な Microsoft VBA への更新を所有しているかを確認しました。ユーザーは、該当のソフトウェア製造業者に連絡し、Microsoft VBA を使用するマイクロソフト以外のアプリケーションへのアップデートを入手する必要があります。

この問題に対する日本語版更新プログラムは、次のサイトからダウンロードできます。

適用する更新プログラムは、VBA を使用するアプリケーションのうち、どれを使用しているかによって異なります。「よく寄せられる質問」の「この脆弱性に対する更新プログラムには多くの種類がありますが、どれをインストールする必要がありますか?」の質問を読み、適用する必要がある更新プログラムのバージョンを確認することを強くお勧めします。

• Microsoft Office 2000:
  http://www.microsoft.com/downloads/details.aspx?FamilyId=E2CCE199-9C4A-4EEC-A3EC-9F738017F275&displaylang=ja
  管理者用アップデート:
  http://download.microsoft.com/download/3/c/4/3c4be066-8bb1-4067-a6f8-6237f850c01f/office2000-kb822035-fullfile-jpn.exe
• Microsoft Office XP (Publisher 2002 を含む)
  http://www.microsoft.com/downloads/details.aspx?FamilyId=6F1FC4B0-29E9-44E0-A33D-AD6B4B6A8FF4&displaylang=ja 
  管理者用アップデート:http://download.microsoft.com/download/0/3/b/03b38bf9-8edf-48c2-b1c5-c95aa1e20d92/officexp-kb822036-fullfile-jpn.exe
• Microsoft Project 2000:
  http://www.microsoft.com/downloads/details.aspx?FamilyId=E53A52E7-431D-4580-9733-B92A2B7BFD0D&displaylang=ja
• Microsoft Project 2002:
  http://www.microsoft.com/downloads/details.aspx?FamilyId=525BDE0A-0028-488A-8209-6E07D4603CCB&displaylang=ja
• Microsoft Visio 2002:
  http://www.microsoft.com/downloads/details.aspx?FamilyId=55944490-13C2-4043-BA2A-17AF02E9C73E&displaylang=ja
• Microsoft VBA 用更新プログラム:
  http://www.microsoft.com/downloads/details.aspx?FamilyId=DA1A7ABA-CD3D-458B-9729-AB9094C9BD3F&displaylang=ja
  
  Microsoft VBA 用の更新プログラムは以下のアプリケーションを実行しているシステムにインストールすることができます。
  • Microsoft VBA 5.0
  • Microsoft VBA 6.0
  • Microsoft VBA 6.2
  • Microsoft VBA 6.3.
  • Microsoft Access 97
  • Microsoft Excel 97
  • Microsoft PowerPoint 97
  • Microsoft Word 97
  • Microsoft Word 98 （日本語版）
  • Microsoft Visio 2000
  • Microsoft Works Suite 2001
  • Microsoft Business Solutions Great Plains 7.5
  • Microsoft Business Solutions Dynamics 6.0
  • Microsoft Business Solutions Dynamics 7.0
  • Microsoft Business Solutions eEnterprise 6.0
  • Microsoft Business Solutions eEnterprise 7.0
  • Microsoft Business Solutions Solomon 4.5
  • Microsoft Business Solutions Solomon 5.0
  • Microsoft Business Solutions Solomon 5.5
• マイクロソフトは、Office のアップデートの Web サイト http://office.microsoft.com/officeupdate/ を訪問し、Office ファミリー製品にこのセキュリティ更新プログラムおよびほかのすべてのアップデートを検索し、インストールを行うことを推奨します。 （注意 : Office のアップデートでは Office 97 または Visio 2000 はサポートされていません。）

このマークの付いている更新プログラムは Office のアップデート からインストールすることもできます。

Office のアップデートの利用方法については以下のサイトを参照してください。

• Office のアップデートを行う
  http://www.microsoft.com/japan/athome/security/square/guard/offup.mspx