マイクロソフトは2008年3月22日、同社のデータベースエンジン「Microsoft Jet Database Engine(Jet)」に新たな脆弱性が見つかったことを明らかにした。細工が施されたWordファイルを開くと、悪質なプログラムを実行される恐れがある。セキュリティ更新プログラム(修正パッチ)は未公開。

 Jetは、データベースにアクセスする機能などを提供するコンポーネント。Windowsに含まれ、Windowsをはじめ、Microsoft Accessなどの各種アプリケーションが利用する。今回、Jetに見つかった脆弱性は、特定のデータ処理に関するもの。特定のデータベースファイルを読み込むと、「バッファーオーバーフロー」と呼ばれる問題が発生し、ファイルに含まれる悪質なプログラムを実行される恐れがある。

 しかも今回、Wordを経由して、この脆弱性を悪用できることが明らかとなった。具体的には、特定のデータベースファイルを読み込むように作成されたWordファイルをユーザーが開くと、そのファイルがJetに渡されてバッファーオーバーフローが発生する。ユーザーからすれば、Wordファイルを開くだけで被害に遭うことになる。

 ただし、Wordファイルだけでは攻撃を“成功”させることはできない。バッファーオーバーフローを発生させるようなデータベースファイルも、攻撃対象のパソコンに送り込む必要がある。このため同社の情報では、「現在確認されている攻撃では、攻撃が成功させるために、お客様が複数の操作をする必要があります。そのため、リスクは限定されると認識しています」としている。

 影響を受けるのは、Word 2007/2003/2002/2000およびWindows 2000/XP/Server 2003のユーザー。Windows Server 2008/Vista/Server 2003 SP2は影響を受けない。

 現時点では、修正パッチは未公開。このため、信頼できないWordファイルを開かないことが回避策となる。そのほか、Jetの実行を制限することも回避策となる。具体的な制限方法については、マイクロソフトの情報を参照してほしい。