マイクロソフトが5月の月例パッチを公開

　Microsoftは米国時間5月11日、WindowsとMicrosoft Officeに存在する2件の緊急（遠隔からのコード実行）にレーティングされている脆弱性を修正するパッチを公開し、影響を受けるユーザーに対して、これらのパッチを出来る限り早く適用するよう求めている。

　もっとも深刻な問題は、セキュリティ情報MS10-030で説明されているもので、Outlook Express、Windows Mail、Windows Live Mailに影響がある。

　Microsoftによれば、Windows 2000、Windows XP、Windows Vista、Windows Server 2003、Windows Server 2008はすべて深刻度が「緊急」にレーティングされている。これは、攻撃に成功した場合、攻撃者が侵害を受けたコンピュータに対する完全なアクセスを得る可能性があるということだ。

　デフォルトの状態のWindows 7には、Windows Live Mailが含まれていないため、このセキュリティホールの影響を受けない。

　以下は、MicrosoftのSR&Dブログに掲載されている、可能性のある攻撃シナリオだ。

• 中間者攻撃：攻撃者は、ユーザーのPOP3あるいはIMAPの正規の電子メールサーバに対する接続を横取りして操作する。このシナリオでは、もっとも可能性の高い攻撃ベクトルは、攻撃者が無線LANのホットスポットなどの信頼できないネットワークを経由する、正規のPOP3あるいはIMAPの接続を、横取りして改ざんするというものだ。ただしこの攻撃は、POP3あるいはIMAPのセッションがSSLを使用している場合には機能しない。電子メールアカウントに対するSSLによる保護は、サーバがその選択肢をサポートしている場合に利用できる。
• 悪質な電子メールサーバ：攻撃者がユーザーを誘導し、悪意を持って設置された電子メールサーバに、POP3あるいはIMAPのどちらかのプロトコルで接続させる。この方法は、攻撃者がユーザーに対し、悪質な電子メールサーバに接続することを説得あるいは強制する必要があることから、攻撃ベクトルとしては可能性は低い。この攻撃にはかなりのソーシャルエンジニアリングが必要であり、成功する可能性は低い。ユーザーに悪質な電子メールサーバへの接続を強いるには、攻撃者はユーザーのLANへのアクセスが必要となるか、電子メールサーバのDSNエントリを書き換える手段を持っている必要がある。

　2件目のセキュリティ情報（MS10-031）では、Microsoft Visual Basic for Applicationに存在する、1件の明文化された脆弱性に対するパッチを提供している。このセキュリティアップデートは、すべてのサポートされているバージョンのMicrosoft VBA SDK 6.0と、Microsoft VBAを用いるサードパーティアプリケーションに対して、「緊急」にレーティングされている。

　Microsoft Visual Basic for ApplicationのActiveXコントロールを検索する方法に、遠隔からコードを実行される可能性のある脆弱性が存在する。この脆弱性は、ホストアプリケーションが特別に細工されたファイルを開き、そのファイルに含まれる細工されたデータがVisual Basic for Applicationランタイムに渡される場合に、遠隔からコードを実行される可能性がある。

　以下は、SR&Dチームによる技術的な詳細の説明だ。

　この脆弱性は、テキストの構文解析のコードの不具合から、1バイトスタックの上書きが生じるというものだ。・・・

・・・理論的には、この脆弱性を用いた攻撃が成功する方法はいくつか存在するが、どの場合も、プログラムが非常に特殊な要件を満たしている必要がある（例：リターンアドレスが0x00から始まっておらず、0x2eを含んでおり、0x2eを0x00に変更したものが、攻撃によって利用できるコードのアドレスを指す）。そのような要件はあり得ないことではないが、現実には見当たらない可能性が高い。

　われわれの分析によれば、任意のコードの実行につながる安定した攻撃コードが、今後30日以内に出回る可能性は低い。しかし今回は、われわれの用いている一般的なガイドラインに従い、この脆弱性を悪用によってコード実行の可能性のあるものとして分類した。

　古いバージョンを使っているWindowsユーザーは、サポート期限がまもなく切れることにも注意すべきだ。サポート期限が切れると、セキュリティパッチは提供されなくなる。

• Windows XP Service Pack 2は、2010年7月13日以降はサポートされない。Microsoftの顧客の多くがまだこのバージョンを使用しており、Service Pack 3かWindows 7へ出来るだけ早くアップグレードするよう推奨されている。
• Windows 2000に対する延長サポートも、2010年7月13日で期限が切れる。この日以降、MicrosoftはWindow 2000に対してセキュリティアップデートやその他のアップデートを提供しない。