JVNDB-2009-002237

GDI+ の PNG 画像ファイル処理における整数オーバーフローの脆弱性

複数の Microsoft 製品で使用される GDI+ には、PNG 画像ファイルの処理に不備があるため、任意のコードを実行される脆弱性が存在します。

マイクロソフト

• Microsoft Excel Viewer
• Microsoft Excel Viewer 2003 
• Microsoft Expression Web
• Microsoft Expression Web 2
• Microsoft Forefront Client Security 1.0
• Microsoft Internet Explorer 6
• Microsoft Office 2007 
• Microsoft Office 2003 
• Microsoft Office xp 
• Microsoft Office Groove Server 2007 
• Microsoft PowerPoint Viewer 2007
• Microsoft Project 2002
• Microsoft Report Viewer 2005
• Microsoft Report Viewer 2008
• Microsoft SQL Server 2000 Reporting Services
• Microsoft SQL Server 2005
• Microsoft SQL Server 2005 for Itanium-based Systems
• Microsoft SQL Server Viewer 2008
• Microsoft Visio 2002
• Microsoft Visio Viewer 2007
• Microsoft Word Viewer
• Microsoft Word Viewer 2003 
• Microsoft Works 8.5
• Word/Excel/PowerPoint 2007 ファイル形式用 Microsoft Office 互換機能パック
• Microsoft Windows 2000
• Microsoft Windows XP sp3 

巧妙に細工された PNG 画像ファイルにより、任意のコードを実行される可能性があります。

ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

マイクロソフト

• Microsoft Security Bulletin : MS09-062
• マイクロソフト セキュリティ情報 : MS09-062
• 絵でみるセキュリティ情報 : MS09-062e

富士通

• 富士通 セキュリティ情報 : TA09-286A

1. 数値処理の問題(CWE-189) [NVD評価]

1. CVE-2009-3126

1. JVN : JVNTA09-286A
2. JVN Status Tracking Notes : JVNTR-2009-23
3. National Vulnerability Database (NVD) : CVE-2009-3126
4. JPCERT 緊急報告 : JPCERT-AT-2009-0020
5. 警察庁 @police : マイクロソフト社のセキュリティ修正プログラムについて(MS09-050,051,052,053,054,055,056,057,058,059,060,061,062)
6. US-CERT Cyber Security Alerts : SA09-286A
7. US-CERT Technical Cyber Security Alert : TA09-286A
8. Secunia Advisory : SA37007
9. SecurityFocus : 36649
10. VUPEN Security : VUPEN/ADV-2009-2897

• [2009年11月18日]
    掲載