Microsoft Office の脆弱性により、リモートでコードが実行される (934873) (MS07-025)

マイクロソフトは次の回避策のテストを行いました。この回避策は根本的な脆弱性を修正しませんが、既知の攻撃方法を阻止する手助けとなります。回避策が機能の低下の原因となる場合、下記に示します。

どのようなことが起こる可能性がありますか?

Microsoft Office が特別な細工がされた描画オブジェクトを処理する方法に、リモートでコードが実行される脆弱性が存在します。攻撃者がこの脆弱性を悪用した場合、不正な形式の描画オブジェクトが含まれている特別に細工したファイルをユーザーに表示させる可能性があります。このような特別に作成されたファイルは、電子メールの添付ファイルに含まれているか、または悪意のある Web サイトにホストされている可能性があります。特別に細工されたファイルを表示することにより、ログオン ユーザーのセキュリティ コンテキストで、リモートでコードが実行される可能性があります。

ユーザーが管理者ユーザー権限でログオンしている場合、影響を受けるコンピュータが攻撃者に完全に制御される可能性があります。攻撃者は、その後、プログラムのインストール、データの表示、変更、削除、または完全なユーザー権限を持つ新たなアカウントを作成する可能性があります。コンピュータでユーザー権限が低い設定のアカウントを持つユーザーは、管理者ユーザー権限で実行しているユーザーよりもこの脆弱性による影響が少ないと考えられます。

何が原因で起こりますか?

Office が描画オブジェクトを解析する際に、十分なデータ検証が行われないことが原因です。Office が特別な細工をされた Office ファイルを開き、不正な形式の描画オブジェクトを解析する時、コンピュータのメモリが破損され、攻撃者により任意のコードが実行される可能性があります。

この脆弱性により、攻撃者は何を行う可能性がありますか?

攻撃者はこの脆弱性を悪用しユーザーのコンピュータで任意のコードを実行する可能性があります。これにより、影響を受けるコンピュータが攻撃者に完全に制御される可能性があります。

攻撃者はこの脆弱性をどのように悪用する可能性がありますか?

Web ベースの攻撃のシナリオでは、攻撃者はこの脆弱性の悪用を意図した Office ファイルが含まれる Web サイトをホストしていることが必要条件となります。さらに、侵害された Web サイトおよびユーザーが提供したコンテンツまたは広告を受け入れる、またはホストする Web サイトはこの脆弱性を悪用する可能性のある特別な細工のされたコンテンツを含む可能性があります。しかし、すべての場合において、攻撃者は強制的にユーザーにこれらの Web サイトを訪問させる方法はありません。その代わり、通常、ユーザーに攻撃者の Web サイトに接続させる電子メール メッセージまたはインスタント メッセンジャーのメッセージ内のリンクをクリックさせることにより、ユーザーを攻撃者の Web サイトに訪問させることが攻撃者にとっての必要条件となります。

電子メールでの攻撃シナリオでは、攻撃者は特別な細工がされたファイルをユーザーに送信し、ユーザーにそのファイルを開くよう誘導することにより、この脆弱性を悪用する可能性があります。

主にどのコンピュータがこの脆弱性による危険にさらされますか?

ワークステーションおよびターミナル サーバーが、主にこの脆弱性による危険にさらされます。管理者がユーザーにサーバーへのログオンおよびプログラムの実行を許可した場合、サーバーが危険にさらされる可能性が高くなります。セキュリティ上の最善策として、これを許可しないことが強く推奨されています。

影響を受けるソフトウェアはインストールされていませんが、システムには MSO.dll が存在します。なぜこの場合、セキュリティ更新プログラムが提供されるのですか?

MSO.dll は Office アプリケーションで使用される共通ファイルです。この脆弱性は「影響を受けるソフトウェア」の欄に記載されている Office 製品のみに影響を及ぼしますが、MSO.dll がシステムに存在しているため、影響を受ける Office 製品をインストールしていない場合でも、マイクロソフトはこの更新プログラムをインストールすることを推奨します。

この更新プログラムはどのように問題を修正しますか?

この更新プログラムは、Microsoft Office が特定の描画オブジェクトを処理する方法を変更することにより、この脆弱性を排除します。

このセキュリティ情報の公開時に、この脆弱性は一般に知られていましたか？

いいえ。マイクロソフトは信頼のおける情報元からこの脆弱性に関する情報を受けました。マイクロソフトは、このセキュリティ情報が一般に知られていたという情報は受けていませんでした。このセキュリティ情報は、内部調査で新たに確認された問題とともに、非公開で報告された脆弱性を解決します。

このセキュリティ情報の公開時に、マイクロソフトはこの脆弱性が悪用されたという報告を受けていましたか?

いいえ。このセキュリティ情報が最初に公開された段階で、マイクロソフトはこの脆弱性が悪用され、お客様が攻撃されたということを示す情報は受けておらず、また、公開された検証用コードのいかなる実例の存在も確認しておりません。

重要: この更新プログラムをインストールする前に、次の必要条件が満たされていることを確認してください。

使用しているコンピュータの Office 2000 のバージョンを確認する方法に関する追加情報は、サポート技術情報 255275 をご覧ください。

この修正を含む予定のサービスパック

今後のこのソフトウェア向けのサービス パックは計画されていません。この問題に対する修正は今後リリースされる更新プログラムのロールアップに含まれる可能性があります

再起動の必要性

再起動が必要になる可能性を低減する手助けとするために、このセキュリティ更新プログラムをインストールする前に、すべての影響を受けるサービスを停止し、影響を受けるファイルを使用している可能性のあるすべてのアプリケーションを閉じてください。再起動が必要となる理由に関する詳細情報は、サポート技術情報 887012 をご覧ください。

削除に関する情報

この更新プログラムのインストール後、削除はできません。更新プログラムのインストール前の状態に戻すには、アプリケーションを削除し、それを元の CD-ROM から再度インストールする必要があります。

Office アップデート Web サイト

マイクロソフトは、Office アップデート Web サイト から Microsoft Office 2000 クライアントの更新プログラムをインストールすることを推奨します。Office アップデート Web サイトはお客様の特定の Microsoft Office のインストールを検出し、Office のインストールを完全に最新の状態にするために、必要な更新プログラムをインストールするよう確認メッセージを表示します。

Office アップデート Web サイトを使用してコンピュータにインストールする必要のある更新プログラムを検出するためには、Office アップデート Web サイト で [アップデートの確認] をクリックしてください。検出が完了すると、確認のため、推奨される更新プログラムの一覧が表示されます。[同意してインストール] をクリックし、プロセスを完了します。

この更新プログラムを手動でインストールする方法に関する詳細情報は、次のセクションをご覧ください。

インストールに関する情報

このセキュリティ更新プログラムは次のセットアップ スイッチをサポートします。

注: これらのスイッチはすべての更新プログラムで動作するわけではありません。スイッチが動作しない場合は、そのパッケージに対応した機能が必要です。また、/n:v スイッチの使用はサポートされておらず、コンピュータが起動しなくなる原因となる場合があります。インストールが正常に完了しない場合、その理由をお客様のサポート プロフェッショナルにお問い合わせください。

サポートされているセットアップ スイッチに関する追加情報は、サポート技術情報 197147 をご覧ください。

注: Office の更新プログラムの完全なファイルは、クライアントと管理者用のインストールの両方のシナリオを意図しています。

クライアント用のインストールに関する情報 (手動)

注: セキュリティ更新プログラムが既にコンピュータにインストールされている場合、次のエラー メッセージが表示されます。
このアップデートは適用されているか、すでに適用されているアップデートに含まれています。

クライアント用のインストールのファイル情報

Office 2000

更新プログラムが適用されたかどうかを確認する方法

アプリケーションをサーバー ロケーションからインストールした場合、サーバー管理者は管理者アップデートでサーバー ロケーションを更新し、その更新をコンピュータに適用する必要があります。

インストールに関する情報

次のセットアップ スイッチは管理者用のインストールに適切です。この理由は、これらのセットアップ スイッチにより、管理者はセキュリティ更新プログラムからファイルが抽出される方法をカスタマイズできるためです。

サポートされているセットアップ スイッチに関する追加情報は、サポート技術情報 197147 をご覧ください。

管理者用のインストールに関する情報

管理者インストールを更新するためには、次の手順を行ってください。

この時点で、管理者用インストール ポイントが更新されます。次に、最初にこの管理者インストールからインストールされたワークステーションを更新する必要があります。これを行うためには、「ワークステーションのインストールに関する情報」の欄をご覧ください。この管理者用インストール ポイントから実行される新しいインストールは更新プログラムを含みます。

警告: この更新プログラムをインストールする前に、最初にこの管理者用インストールからインストールされたワークステーションは、このワークステーションについて、「ワークステーションのインストールに関する情報」の欄に記載されているステップを完了するまで、Office の修復または新しい機能の追加などの操作について、管理者用インストールを使用することはできません。

ワークステーションのインストールに関する情報

クライアント ワークステーションに更新プログラムを適用するためには、[スタート] をクリックし、次に [ファイル名を指定して実行] をクリックします。[名前] ボックスに次のコマンドを入力します。

msiexec /I Admin Path\MSI File /qb REINSTALL=Feature List REINSTALLMODE=vomu

注: Admin Path は、アプリケーションの管理者用インストール ポイントへのパスとなります (例: C:\Office2000)。MSI File はアプリケーションの .msi データベース パッケージです (例: Data1.msi)。Feature List は更新プログラムの再インストールする必要のある機能名の一覧です (大文字小文字を区別します)。

すべての機能をインストールするためには、REINSTALL=ALL、または次の機能を使用することができます。

注: 組織内で Office 用更新プログラムを適用するための完全なリソースについて、管理された環境での管理者は Office Admin Update Center をご覧ください。この Web サイトのホーム ページで、更新する製品バージョンについて、「アップデート計画」の欄 をご覧ください。Windows Installer Documentation (英語情報) もまた、Windows インストーラによりサポートされるパラメータに関する追加情報を提供しています。

管理者用のインストールのファイル情報

この更新プログラムの日本語版のファイル属性 (またはそれ以降) は次のとおりです。

Office 2000

更新プログラムが適用されたかどうかを確認する方法

重要: この更新プログラムをインストールする前に、次の必要条件が満たされていることを確認してください。

使用しているコンピュータの Office XP のバージョンを確認する方法に関する追加情報は、マイクロソフト サポート技術情報 291331 をご覧ください。[バージョン情報] ダイアログボックスに表示されるバージョン情報に関する詳細は、328294 をご覧ください。

この修正を含む予定のサービスパック

今後のこのソフトウェア向けのサービス パックは計画されていません。この問題に対する修正は今後リリースされる更新プログラムのロールアップに含まれる可能性があります。

再起動の必要性

再起動が必要になる可能性を低減する手助けとするために、このセキュリティ更新プログラムをインストールする前に、すべての影響を受けるサービスを停止し、影響を受けるファイルを使用している可能性のあるすべてのアプリケーションを閉じてください。再起動が必要となる理由に関する詳細情報は、サポート技術情報 887012 をご覧ください。

削除に関する情報

この更新プログラムを削除するためには、[コントロール パネル] の [プログラムの追加と削除] を使用してください。

注: この更新プログラムを削除する場合、CD ドライブに Microsoft Office XP の CD を挿入するようメッセージが表示される場合があります。さらに、[コントロール パネル] の [プログラムの追加と削除] から更新プログラムを削除するオプションがない場合もあります。この問題について、いくつかの考えられる原因があります。削除に関する詳細情報は、サポート技術情報 903771 をご覧ください。

Microsoft Update Web サイト

このセキュリティ更新プログラムは Microsoft Update からも入手できます。Microsoft Update は Windows Update および Office Update により提供される更新プログラムを 1 つの場所に統合し、更新プログラムの自動配信および優先度の高い更新プログラムのインストールを選択することができます。マイクロソフトは、Microsoft Update から、この更新プログラムをインストールすることを推奨します。Microsoft Update Web サイトはお客様の特定のインストールを検出し、インストールを完全に最新の状態にするために、必要な更新プログラムをインストールするよう確認メッセージを表示します。

Microsoft Update Web サイトにお客様がインストールする必要のある更新プログラムを検出させるためには、Microsoft Update Web サイトをご覧ください。[高速] (推奨) または [カスタム] の 2 つの選択があります。検出が完了すると、確認のため推奨される更新プログラムの一覧が表示されます。[更新プログラムのインストール] または [更新プログラムの確認とインストール] をクリックし、プロセスを完了します。

この更新プログラムを手動でインストールする方法に関する詳細情報は、次のセクションをご覧ください。

インストールに関する情報

このセキュリティ更新プログラムは次のセットアップ スイッチをサポートします。

注: これらのスイッチはすべての更新プログラムで動作するわけではありません。スイッチが動作しない場合は、そのパッケージに対応した機能が必要です。また、/n:v スイッチの使用はサポートされておらず、コンピュータが起動しなくなる原因となる場合があります。インストールが正常に完了しない場合、その理由をお客様のサポート プロフェッショナルにお問い合わせください。

サポートされているセットアップ スイッチに関する追加情報は、サポート技術情報 197147 をご覧ください。

注: Office の更新プログラムの完全なファイルは、クライアントと管理者用のインストールの両方のシナリオを意図しています。

クライアント用のインストールに関する情報 (手動)

注: セキュリティ更新プログラムが既にコンピュータにインストールされている場合、次のエラー メッセージが表示されます。
このアップデートは適用されているか、すでに適用されているアップデートに含まれています。

クライアント用のインストールのファイルに関する情報

この更新プログラムの日本語版のファイル属性 (またはそれ以降) は次のとおりです。

Office XP:

アプリケーションをサーバー ロケーションからインストールした場合、サーバー管理者は管理者アップデートでサーバー ロケーションを更新し、その更新をコンピュータに適用する必要があります。

インストールに関する情報

次のセットアップ スイッチは管理者用のインストールに適切です。この理由は、これらのセットアップ スイッチにより、管理者はセキュリティ更新プログラムからファイルが抽出される方法をカスタマイズできるためです。

サポートされているセットアップ スイッチに関する追加情報は、サポート技術情報 197147 をご覧ください。

管理者用のインストールに関する情報

管理者インストールを更新するためには、次の手順を行ってください。

この時点で、管理者用インストール ポイントが更新されます。次に、最初にこの管理者インストールからインストールされたワークステーションを更新する必要があります。これを行うためには、「ワークステーションのインストールに関する情報」の欄をご覧ください。この管理者用インストール ポイントから実行される新しいインストールは更新プログラムを含みます。

警告: この更新プログラムをインストールする前に、最初にこの管理者用インストールからインストールされたワークステーションは、このワークステーションについて、「ワークステーションのインストールに関する情報」の欄に記載されているステップを完了するまで、Office の修復または新しい機能の追加などの操作について、管理者用インストールを使用することはできません。

ワークステーションのインストールに関する情報

クライアント ワークステーションに更新プログラムを適用するためには、[スタート] をクリックし、[ファイル名を指定して実行] をクリックし、次のコマンドを入力し、[OK] をクリックします。

msiexec /I Admin Path\MSI File /qb REINSTALL=Feature List REINSTALLMODE=vomu

注: Admin Path は、アプリケーションの管理者用インストール ポイントへのパスとなります (例: C:\OfficeXP)。MSI File はアプリケーションの .msi データベース パッケージです (例: Data1.msi)。Feature List は更新プログラムの再インストールする必要のある機能名の一覧です (大文字小文字を区別します)。

すべての機能をインストールするためには、REINSTALL=ALL、または次の機能を使用することができます。

注: 組織内で Office 用更新プログラムを適用するための完全なリソースについて、管理された環境での管理者は Office Admin Update Center をご覧ください。この Web サイトのホーム ページで、更新する製品バージョンについて、「アップデート計画」の欄 をご覧ください。Windows Installer Documentation (英語情報) もまた、Windows インストーラによりサポートされるパラメータに関する追加情報を提供しています。

管理者用のインストールのファイル情報

この更新プログラムの日本語版のファイル属性 (またはそれ以降) は次のとおりです。

Office XP

更新プログラムが適用されたかどうかを確認する方法

重要: この更新プログラムをインストールする前に、次の必要条件が満たされていることを確認してください。

使用しているコンピュータの Office 2003 のバージョンを確認する方法に関する追加情報は、サポート技術情報 821549 をご覧ください。[バージョン情報] ダイアログボックスに表示されるバージョン情報に関する詳細は、328294 をご覧ください。

この修正を含む予定のサービスパック

この問題に対する修正は今後リリースされるサービス パックに含まれる予定です。

再起動の必要性

再起動が必要になる可能性を低減する手助けとするために、このセキュリティ更新プログラムをインストールする前に、すべての影響を受けるサービスを停止し、影響を受けるファイルを使用している可能性のあるすべてのアプリケーションを閉じてください。再起動が必要となる理由に関する詳細情報は、サポート技術情報 887012 をご覧ください。

削除に関する情報

このセキュリティ更新プログラムを削除するためには、[コントロール パネル] の [プログラムの追加と削除] を使用してください。

注: この更新プログラムを削除する場合、Microsoft Office 2003 の CD を CD ドライブに挿入するようメッセージが表示される場合があります。また、[コントロール パネル] の [プログラムの追加と削除] からこの更新プログラムをアンインストールするオプションがない場合もあります。この問題について、いくつかの考えられる原因があります。削除に関する詳細情報は、サポート技術情報 903771 をご覧ください。

Microsoft Update Web サイト

このセキュリティ更新プログラムは Microsoft Update からも入手できます。Microsoft Update は Windows Update および Office Update により提供される更新プログラムを 1 つの場所に統合し、更新プログラムの自動配信および優先度の高い更新プログラムのインストールを選択することができます。マイクロソフトは、Microsoft Update から、この更新プログラムをインストールすることを推奨します。Microsoft Update Web サイトはお客様の特定のインストールを検出し、インストールを完全に最新の状態にするために、必要な更新プログラムをインストールするよう確認メッセージを表示します。

Microsoft Update Web サイトにお客様がインストールする必要のある更新プログラムを検出させるためには、Microsoft Update Web サイトをご覧ください。[高速] (推奨) または [カスタム] の 2 つの選択があります。検出が完了すると、確認のため、推奨される更新プログラムの一覧が表示されます。[更新プログラムのインストール] または [更新プログラムの確認とインストール] をクリックし、プロセスを完了します。

この更新プログラムを手動でインストールする方法に関する詳細情報は、次のセクションをご覧ください。

インストールに関する情報

このセキュリティ更新プログラムは次のセットアップ スイッチをサポートします。

注: これらのスイッチはすべての更新プログラムで動作するわけではありません。スイッチが動作しない場合は、そのパッケージに対応した機能が必要です。また、/n:v スイッチの使用はサポートされておらず、コンピュータが起動しなくなる原因となる場合があります。インストールが正常に完了しない場合、その理由をお客様のサポート プロフェッショナルにお問い合わせください。

サポートされているセットアップ スイッチに関する追加情報は、サポート技術情報 197147 をご覧ください。

注: Office の更新プログラムの完全なファイルは、クライアントと管理者用のインストールの両方のシナリオを意図しています。

クライアント用のインストールに関する情報 (手動)

注: セキュリティ更新プログラムが既にコンピュータにインストールされている場合、次のエラー メッセージが表示されます。
このアップデートは適用されているか、すでに適用されているアップデートに含まれています。

クライアント用のインストールのファイル情報

この更新プログラムの日本語版のファイル属性 (またはそれ以降) は次のとおりです。

Office 2003

アプリケーションをサーバー ロケーションからインストールした場合、サーバー管理者は管理者アップデートでサーバー ロケーションを更新し、その更新をコンピュータに適用する必要があります。

インストールに関する情報

次のセットアップ スイッチは管理者用のインストールに適切です。この理由は、これらのセットアップ スイッチにより、管理者はセキュリティ更新プログラムからファイルが抽出される方法をカスタマイズできるためです。

サポートされているセットアップ スイッチに関する追加情報は、サポート技術情報 197147 をご覧ください。

管理者用のインストールに関する情報

管理者インストールを更新するためには、次の手順を行ってください。

この時点で、管理者用インストール ポイントが更新されます。次に、最初にこの管理者インストールからインストールされたワークステーションを更新する必要があります。これを行うためには、「ワークステーションのインストールに関する情報」の欄をご覧ください。この管理者用インストール ポイントから実行される新しいインストールは更新プログラムを含みます。

警告: この更新プログラムをインストールする前に、最初にこの管理者用インストールからインストールされたワークステーションは、このワークステーションについて、「ワークステーションのインストールに関する情報」の欄に記載されているステップを完了するまで、Office の修復または新しい機能の追加などの操作について、管理者用インストールを使用することはできません。

ワークステーションのインストールに関する情報

クライアント ワークステーションに更新プログラムを適用するためには、[スタート] をクリックし、[ファイル名を指定して実行] をクリックし、次のコマンドを入力し、[OK] をクリックします。

msiexec /I Admin Path\MSI File /qb REINSTALL=Feature List REINSTALLMODE=vomu

注: Admin Path は、アプリケーションの管理者用インストール ポイントへのパスとなります (例: C:\Office2003)。MSI File はアプリケーションの .msi データベース パッケージです (例: Data1.msi)。Feature List は更新プログラムの再インストールする必要のある機能名の一覧です (大文字小文字を区別します)。

すべての機能をインストールするためには、REINSTALL=ALL、または次の機能を使用することができます。

注: 組織内で Office 用更新プログラムを適用するための完全なリソースについて、管理された環境での管理者は Office Admin Update Center をご覧ください。この Web サイトのホーム ページで、更新する製品バージョンについて、「アップデート計画」の欄をご覧ください。Windows Installer Documentation (英語情報) もまた、Windows インストーラによりサポートされるパラメータに関する追加情報を提供しています。

管理者用のインストールのファイル情報

この更新プログラムの日本語版のファイル属性 (またはそれ以降) は次のとおりです。

Office 2003

更新プログラムが適用されたかどうかを確認する方法