米Microsoftは米国時間8月19日，Internet Explorer（IE）に見つかったパッチ未公開のセキュリティ・ホール（脆弱性）に関する追加情報を公表した。米SANS Instituteなどによると，今回のセキュリティ・ホールはOfficeやAccess，Visual StudioなどをインストールしているPCだけが影響を受けると伝えられていた。Microsoftの追加情報では，Office 2003／Access 2003やOffice XP SP3／Access 2002 SP3，Visual Studio 2003／2002 SP1などは影響を受けないことが明らかにされた。

　今回のセキュリティ・ホールは，IEのCOMオブジェクトの呼び出しに関するもの（関連記事）。COMオブジェクト「Msdds.dll（Microsoft Design Tools - Diagram Surface）」をOBJECTタグで呼び出そうとするHTMLファイル（Webページ／HTMLメール）を開くと，IEが強制終了したり，ファイルに含まれる任意のプログラムを実行させられる。セキュリティ・ホールを突くコード（プログラム）もネット上で公表されている。

　Microsoftでは米国時間8月18日に「Security Advisory」を公開し，セキュリティ・ホールの内容や回避策などを明らかにした。しかしながら，セキュリティ・ホールの影響範囲の詳細を伝えていなかった。当初は，

  • Msdds.dllはデフォルトのWindowsには含まれていない
  • Msdds.dllが存在しないPC（システム）は影響を受けない

の2点を伝えるのみだった。今回同社は，影響範囲に関する情報を米国時間8月19日付けで追記した。追記内容は以下のとおり。

  • Msdds.dllは.NET Frameworkには含まれていない
  • 影響を受ける Msdds.dllのバージョンは 7.0.9064.9112 と 7.0.9446.0。バージョン 7.0.9955.0／7.10.3077.0，およびこれらよりも新しいバージョンのMsdds.dllは影響を受けない
  • Office 2003ユーザーは影響を受けない（含まれるMsdds.dllが新しいバージョンであるため）
  • Access 2003ユーザーは影響を受けない（含まれるMsdds.dllが新しいバージョンであるため）
  • Visual Studio 2003ユーザーは影響を受けない（含まれるMsdds.dllが新しいバージョンであるため）
  • Visual Studio 2002 SP1ユーザーは影響を受けない（含まれるMsdds.dllが新しいバージョンであるため）
  • デフォルトのOffice XP SP3は影響を受けない
  • デフォルトのAccess 2002 SP3は影響を受けない

　Office XP SP3／Access 2002 SP3については，ユーザーが設定を変更している場合には影響を受ける可能性があるという。具体的には，IEがMsvcr70.dllとMsvscp70.dllにアクセスできるようにしている場合（例えば，これらを Msdds.dllと同じディレクトリに置いている場合や%windir%/system32のディレクトリに置いている場合）には影響を受ける。

【8月22日追記】マイクロソフトも8月22日昼，「セキュリティ アドバイザリ (906267)COM オブジェクト (Msdds.dll) により Internet Explorer が予期なく終了する可能性がある」を更新し，影響範囲に関する情報を追記した。【以上，8月22日追記】

◎参考資料
◆Microsoft Security Advisory (906267) A COM Object (Msdds.dll) Could Cause Internet Explorer to Unexpectedly Exit（Updated: August 19, 2005）
◆マイクロソフト セキュリティ アドバイザリ (906267) COM オブジェクト (Msdds.dll) により Internet Explorer が予期なく終了する可能性がある（最終更新日: 2005年8月22日）