セキュリティベンダー各社が相次ぎ報告していたJet Database Engine 4.0（msjet40.dll）の脆弱性を突く攻撃コードの問題を受けて、マイクロソフトは22日、Wordを通じた標的型の攻撃について現在調査を行っているとするセキュリティアドバイザリを公開した。Windows Vista/Vista SP 1/Server 2003 SP2/Server 2008を除く、全てのWindows（msjet40.dllのバージョン4.0.9505.0未満）に影響するおそれがある。
Jet Database Engineは、同社のデータベースソフトAccessをはじめ、多くのアプリケーションで使われているデータベース機能を利用するためのライブラリ。2005年と2007年にコード実行につながる危険な脆弱性が見つかり、Accessのデータベースファイル（MDB）を悪用した攻撃も報告されたが、マイクロソフトはこれまで、Jet Database Engineの脆弱性を悪用するためのMDBファイルは、Internet ExplorerやOutlookが安全でないと見なしてブロックすることを理由に、修正する予定はないとしていた。
今月3日、Panda Softwareの研究所PandaLabsが、Jet Database Engineの脆弱性を突いてスパイウェアを仕掛ける、新たな実証コードの存在を公表した。同研究所は、昨年11月のものとは違う未知の脆弱性ではないかと分析。マカフィーの研究所McAfee Avert Labsは6日、当該脆弱性は2005年に見つかったものではないかと指摘した。いずれにせよ、脅威が再び現実のものとなって迫って来たのだが、マイクロソフトからは、これまでと同様の返答しか返って来なかったらしい。
Symantecは20日、Jet Database Engineの脆弱性をWord通じて悪用する、新たな攻撃手法を報告した。細工したMDBファイルの拡張子を変えることによってブロックをすり抜けさせ、ブロックの対象外であるWord（2000 SP3/2002 SP3/2003 SP2/2003 SP3/2007/2007 SP1）のDOCファイル内から直接Jet Database Engineを呼び出して細工したファイルを開くというやり方だ。攻撃の成立条件はかなり限定されるが、マイクロソフトがこれまでよりどころとして来た、危険なファイルがブロックされるという根拠は崩れた。
同社は、22日付のアドバイザリでJet Database Engineの実行を不可にする設定方法を回避策として紹介するとともに、調査完了時には適切なアクションを行い、月例または月例のリリースプロセス外でのセキュリティ更新プログラムを提供する場合もあるとしている。
（2008/03/24 ネットセキュリティニュース）
■マイクロソフト セキュリティ アドバイザリ (950627) Microsoft Jet Database Engine (Jet) の脆弱性によりリモートでコードが実行される（マイクロソフト）
http://www.microsoft.com/japan/technet/security/advisory/950627.mspx
■マイクロソフト製品における安全でない種類のファイルの概要（マイクロソフト）
http://support.microsoft.com/kb/925330
■セキュリティベンダーの報告（英文）
・New MS Access exploit（PandaLabs）
http://pandalabs.pandasecurity.com/archive/New-MS-Access-exploit.aspx
・Microsoft Access Exploits Nothing New（McAfee Avert Labs Blog）
http://www.avertlabs.com/research/blog/index.php/2008/03/06/microsoft-access-exploits-nothing-new/
・Another Reason to Patch Microsoft Jet Vulnerabilities（Symantec Security Response Weblog）
http://www.symantec.com/enterprise/security_response/weblog/2008/03/another_reason_why_microsoft_s.html
・Microsoft Jet Database Engine Attacked Through Word（McAfee Avert Labs Blog）
http://www.avertlabs.com/research/blog/index.php/2008/03/21/microsoft-jet-database-engine-attacked-through-word/
■脆弱性情報（英文）
・CVE-2008-1092
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-1092
・CVE-2007-6026
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-6026
・CVE-2005-0944
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2005-0944