マイクロソフト セキュリティ情報 MS07-037 - 重要
Microsoft Office Publisher 2007 の脆弱性により、リモートでコードが実行される (936548)
概説
要点
この深刻度が「重要」の更新プログラムは、一般に公開された 1 件の脆弱性を解決します。この脆弱性により、特別な細工がされた Microsoft Office Publisher 2007 ファイルをユーザーが表示すると、リモートでコードが実行される可能性があります。コンピュータでユーザー権限が低い設定のアカウントを持つユーザーは、管理者ユーザー権限で実行しているユーザーよりもこの脆弱性による影響が少ないと考えられます。この脆弱性が悪用されるには、それが予期されていますが、ユーザー側での操作が攻撃者にとっての必要条件となります。
これは Microsoft Office Publisher 2007 の、すべてのサポートされているリリースの重要なセキュリティ更新プログラムです。詳細情報は、このセクションの「影響を受けるソフトウェアおよび影響を受けないソフトウェア」のサブセクションをご覧ください。
このセキュリティ更新プログラムは、Microsoft Office Publisher 2007 が形式の正しくない .pub ファイルを処理する方法を変更することにより、この脆弱性を解決します。この脆弱性に関する詳細情報は、次の「脆弱性の情報」のセクションの下の特定の脆弱性のエントリに関するサブセクション「よく寄せられる質問 (FAQ)」をご覧ください。
推奨する対応策: マイクロソフトはお客様に、できる限り早期にこの更新プログラムを適用することを推奨します。
既知の問題:なし
US マイクロソフトセキュリティ情報:http://www.microsoft.com/technet/security/bulletin/MS07-037.mspx
影響を受けるソフトウェアおよび影響を受けないソフトウェア
次の影響を受けるソフトウェアおよび影響を受けないソフトウェアの表では、サポート ライフサイクルが終了したソフトウェア バージョンは含んでいません。ご使用中の製品およびバージョンのサポートライフ サイクルを確認するためには、マイクロソフト サポート ライフサイクルの Web サイトをご覧ください。
影響を受けるソフトウェアおよびダウンロード先:
このマークをクリックして、PC/AT 互換機用の更新プログラムをダウンロードしてください。
更新プログラムをダウンロードおよびインストールする方法は、更新プログラムのダウンロード方法および更新プログラムのインストール方法をご覧ください。
| Office スイートおよびその他のソフトウェア | コンポーネント | PC/AT | 最も深刻な脆弱性の影響 | 総合的な深刻度 | この更新プログラムにより置き換えられるセキュリティ情報 |
2007 Microsoft Office system | Microsoft Office Publisher 2007 |
| リモートでコードが実行される | 重要 | なし |
影響を受けないソフトウェア:
| Office スイート | アプリケーション |
Microsoft Office 2000 Service Pack 3 | Microsoft Publisher 2000 |
Microsoft Office XP Service Pack 3 | Microsoft Publisher 2002 |
Microsoft Office 2003 Service Pack 2 | Microsoft Office Publisher 2003 |
このセキュリティ更新プログラムに関するよく寄せられる質問 (FAQ) |
脆弱性の詳細
深刻度および脆弱性識別番号 |
Publisher の無効なメモリの参照の脆弱性 - CVE-2007-1754 |
ディスクからメモリにアプリケーションのデータを書き込む際に、Publisher が適切にメモリのリソースをクリアにしない方法に、リモートでコードが実行される脆弱性が存在します。攻撃者は特別な細工がされた Publisher (.pub) ページを作成することにより、この脆弱性を悪用する可能性があります。ユーザーが .pub ページを表示すると、この脆弱性により、リモートでコードが実行される可能性があります。攻撃者によりこの脆弱性が悪用された場合、影響を受けるコンピュータが完全に制御される可能性があります。Common Vulnerabilities and Exposures のリストの標準のエントリとしてこの脆弱性をご覧になるためには、CVE-2007-1754 をご覧ください。
「Publisher の無効なメモリの参照の脆弱性」の問題を緩和する要素 - CVE-2007-1754 |
「Publisher の無効なメモリの参照の脆弱性」の回避策 - CVE-2007-1754 |
「Publisher の無効なメモリの参照の脆弱性」のよく寄せられる質問 - CVE-2007-1754 |
セキュリティ更新プログラムに関する情報
検出および展開ツールとガイダンス |
セキュリティ更新プログラムの展開 |
影響を受けるソフトウェア
影響を受けるソフトウェアに関する特定のセキュリティ更新プログラムについての情報は、該当のリンクをご覧ください。
Publisher 2007 (すべてのエディション) |
参照表
次の表には、このソフトウェアのセキュリティ更新プログラムに関する情報が含まれています。追加情報については、このセクションのサブセクション「展開に関する情報」をご覧ください。
| 参照表 | |
| この修正を含む予定のサービスパック | |
この問題に対する修正は今後リリースされる更新プログラムのロールアップに含まれる可能性があります。 | |
| 展開 | |
ユーザーによる操作を必要としないインストール | publisher2007-kb936646-fullfile-x86-glb.exe /passive |
再起動しないインストール | publisher2007-kb936646-fullfile-x86-glb.exe /norestart |
ログファイル | /log スイッチを使用することにより、詳細なログ記録を有効にすることができます。詳細は、サポート技術情報 912203 をご覧ください。 |
詳細 | 「検出および展開ツールとガイダンス」のセクションをご覧ください。 |
| 再起動に関する情報 | |
再起動の必要性 | 再起動が必要になる可能性を低減する手助けとするために、このセキュリティ更新プログラムをインストールする前に、すべての影響を受けるサービスを停止し、影響を受けるファイルを使用している可能性のあるすべてのアプリケーションを閉じてください。再起動が必要となる理由に関する詳細情報は、サポート技術情報 887012 をご覧ください。 |
ホットパッチ | 対象外 |
| 削除に関する情報 | |
[コントロール パネル] の [プログラムの追加と削除] を使用します。 | |
| ファイル情報 | |
このセクション内のサブセクション「ファイル情報」をご覧ください。 | |
| レジストリキーの確認 | |
対象外 | |
ファイル情報 |
展開に関する情報 |
その他の情報
謝辞
この問題を連絡し、顧客の保護に協力して下さった下記の方に対し、マイクロソフトは深い謝意を表します。
| • | 「Publisher の無効なメモリの参照の脆弱性」 - CVE-2007-1754 についてマイクロソフトに報告してくださった eEye |
サポート
| • | セキュリティ関連、およびセキュリティ更新プログラムに関するご質問や、ご不明な点などありましたら、マイクロソフト セキュリティ情報センターまでご連絡ください。 |
| • | その他、製品に関するご質問は、マイクロソフト プロダクト サポートまでご連絡ください。マイクロソフトでは、お問い合わせの内容が弊社製品の不具合が原因である場合、無償またはインシデントの未消費にてサポートをご提供いたします。 |
免責条項
本セキュリティ情報に含まれている情報は、いかなる保証もない現状ベースで提供されるものです。Microsoft Corporation 及びその関連会社は、市場性および特定の目的への適合性を含めて、明示的にも黙示的にも、一切の保証をいたしません。さらに、Microsoft Corporation 及びその関連会社は、本文書に含まれている情報の使用及び使用結果につき、正確性、真実性等、いかなる表明・保証も行いません。Microsoft Corporation、その関連会社及びこれらの権限ある代理人による口頭または書面による一切の情報提供またはアドバイスは、保証を意味するものではなく、かつ上記免責条項の範囲を狭めるものではありません。Microsoft Corporation、その関連会社及びこれらの者の供給者は、直接的、間接的、偶発的、結果的損害、逸失利益、懲罰的損害、または特別損害を含む全ての損害に対して、状況のいかんを問わず一切責任を負いません。（Microsoft Corporation、その関連会社またはこれらの者の供給者がかかる損害の発生可能性を了知している場合を含みます。) 結果的損害または偶発的損害に対する責任の免除または制限を認めていない地域においては、上記制限が適用されない場合があります。
更新履歴
| • | 2007/07/11: このセキュリティ情報ページを公開しました。 |