VS2010でコンパイルされたすべてのMFCアプリに脆弱性ってのは過小報告？

VS2010 でコンパイルされた全ての単体 MFC アプリケーションに脆弱性が存在- livedoor ニュース
VS2010 でコンパイルされた全ての単体 MFC アプリケーションに脆弱性が存在 – スラッシュドット・ジャパン

というニュースがあったので、Windows 2000環境に 偽 dwmapi.dll をインストールしてDLLが読み込まれるか試してみました。

Safari4/5 の場合、モジュールが組み込まれちゃってますね。

こちらは、パナソニックの拡大ツール、これもアウト
こちらはパナソニックPC情報ツール

これは、Snagit 9というツール。

全部Windows 2000上で検証。
ここに列挙したのは、私のPC上で DLLやEXE内に DWMAPI.DLLの文字列が組み込まれているソフト。
dwmapiが組み込まれてしまった問題のありそうなアプリは「ｘ」を付けました。

Visual Studio 2010 Project
x 妖精大戦争
– Core Temp
– Debugging Tools for Windows

Visual Studio 2008 Project
x Felica Updater
x Snagit 9
x Super Mapple Digital 11
x Panasonic PC情報ビューア
x Lunascape
x Panasonic OptView
x Corel Video Studio Pro X3
– Google Chrome
– iTunes
– Adobe Air 2.5
– IME2010
– SilverLight4
– FlashPlayer 10.1

Visual Studio 2005 Project
x Safari 4
x Safari 5
– 360desktop
– Picasa 3.8
– Firefox
– OpenGL Extenssions Viewer 3.0
– Steam
– Stardoc Impulse
– Office 2007
– VMPlayer 3.1
? Panasonic Display Helper
? quanp
? Inter Video WinDVD 8

Visual Studio 2003 Project
– Panasonic  Wireless Manager
– Office 2003
– Java6

Visual Studio 6 Project
– VistaBootPro 3.3

Other
– Shock4way3D

見ての通り、 Visual Studio 2010だけでなく、 VC++2008 や VC++2005 でコンパイルされているアプリでも問題が発生しました！
たぶん、このダミーで組み込んだ dwmapi.dll を最初から 最初に読み込みに行く、system32に組み込んでおけばよいのかもしれませんが、影響範囲は相当広そうですね。

こちらは Visual Studio 2008でコンパイルされた Felica Updater を Dependency Walker でプロファイル実行したところ。

思いっきり動的にロードされてます。

関連サイト：
JVNVU#707943: Windows プログラムの DLL 読み込みに脆弱性
マイクロソフト セキュリティ アドバイザリ (2269637): 安全でないライブラリのロードにより、リモートでコードが実行される
WindowsのDLL読み込みに脆弱性–コード実行の危険性：JVN発表 – セキュリティ – ZDNet Japan