特に重要なセキュリティ欠陥・ウイルス情報

Skype for Windows 3.8.*.115 以前に重大な欠陥が発見されました。Skype for Windows における file: URI の扱いに欠陥が存在し、攻略 file: URI をクリックすると任意のコードが実行されてしまいます。

• SKYPE-SB/2008-003: Skype File URI Security Bypass Code Execution Vulnerability (Skype.com)

この欠陥は、最新版である Skype for Windows 3.8.0.139 で修正されています。Skype for Windows 利用者は、最新版に更新して下さい。

Windows Vista Service Pack 1 (SP1) において VirusScan Enterprise (VSE) 8.5i patch 5 (最新版) を使用する場合は次のようにしてください。

1. 一旦 Windows Vista から VSE 8.5i をアンインストールしてください。
2. その後 Windows Vista に SP1 を適用します。
3. SP1 適用後、再起動し、それから VSE 8.5i (patch 5 同梱版) をインストールします。

アンインストールしないまま Vista SP1 を適用すると不具合が発生するようです。マカフィー技術情報 VE08051501 によると patch 5 と Hotfix (VSE85HF394889.ZIP) の適用によっても対応できるようですが、一旦アンインストールした方が安全であると考えます。Hotfix が必要な場合は RINS 担当 (内線 7414) にお問い合わせ下さい。

なお、Windows Vista SP1 に正式に対応するのは、2008 年 7 月にリリースされる予定の VSE 8.5i patch 6 からになります。(関連: マカフィー技術情報 615037)

VSE 全般については マカフィー VirusScan 関連ドキュメントを参照してください。

2008.08.29 追記

VSE 8.5i patch 6 およびVSE 8.5i (patch 6 同梱版) が用意されています。マカフィー VirusScan 関連ドキュメントを参照してください。

LHaplus 1.56 以前に重大な欠陥が発見されました。ZOO アーカイブファイルの処理において欠陥があり、攻略 ZOO アーカイブを開くとウイルスに感染するなどの被害が発生する恐れがあります。

• ZOO 展開時のバッファオーバーフロー (HoeHoe.com 跡地)

この欠陥は LHaplus 1.57 で修正されています。LHaplus 利用者はアップデートして下さい。

HP プリンタなどに付属する Windows 用のプログラム、HP ソフトウェア更新 (HP Software Update) に重大な欠陥が発見されました。攻略 Web ページを閲覧するだけでウイルスに感染するなどの被害が発生する恐れがあります。

• HPSBGN02333 SSRT080031 rev.1 - HP Software Update HPeDiag Running on Windows, Remote Disclosure of Information and Execution of Arbitrary Code (HP)
• HP HPeDiag の ActiveX コントロールにおける複数の脆弱性 (vuln.sg)

この欠陥は HP ソフトウェア更新 v4.000.010.008 以降で修正されており、HP ソフトウェア更新を実行することで更新できます。利用者は更新してください。

Microsoft から 2008 年 4 月の月例セキュリティ修正プログラムが公開されました。

• 2008 年 4 月のセキュリティ情報 (Microsoft)

新たに公開されたセキュリティ修正は次の 8 種類、「緊急」レベルが 5 種類と「重要」レベルが 3 種類です。

• MS08-018 Microsoft Project の脆弱性により、リモートでコードが実行される (950183)
  対象: Microsoft Project 2000 / 2002 / 2003。ただし Project 2003 SP3 にはこの欠陥はない。
• MS08-019 Microsoft Visio の脆弱性により、リモートでコードが実行される (949032)
  対象: Visio 2002 / 2003 / 2007。Visio Viewer 2002 / 2003 / 2007 にはこの欠陥はない。
• MS08-020 DNS クライアントの脆弱性により、なりすましが行われる (945553)
  対象: Windows 2000 / XP / Server 2003 / Vista gold。この欠陥は Server 2008 / Vista SP1 にはない。
• MS08-021 GDI の脆弱性により、リモートでコードが実行される (948590)
  対象: Windows 2000 / XP / Server 2003 / Server 2008 / Vista
• MS08-022 VBScript および JScript スクリプト エンジンの脆弱性により、リモートでコードが実行される (944338)
  対象: VBScript エンジン 5.1 / 5.6、JScript エンジン 5.1 / 5.6。Windows 2000 / XP / Server 2003 に同梱。
• MS08-023 ActiveX Kill Bit 用のセキュリティ更新プログラム (948881)
  対象: Windows 2000 / XP / Server 2003 / Server 2008 / Vista
• MS08-024 Internet Explorer 用の累積的なセキュリティ更新プログラム (947864)
  対象: Internet Explorer 5 / 6 / 7
• MS08-025 Windows カーネルの脆弱性により、特権が昇格される (941693)
  対象: Windows 2000 / XP / Server 2003 / Server 2008 / Vista

Microsoft Update や Windows Update、Microsoft Windows Software Update Services などを利用して修正プログラムをインストールしてください。「毎月第 2 火曜日 (米国時間) は Windows Update の日」に更新方法に関する情報をまとめてあります。また、自動更新を利用する場合は「自動更新について」を参照してください。 再起動を促された場合には、再起動してください。RINS の複数の機械にインストールしてみた限りでは、不具合はないようです。

なお、Project 2000 の修正プログラムは Office Update を利用して適用するか、あるいは個別にダウンロードして適用する必要がありますので注意してください。