この累積的な更新プログラムはどのような脆弱性を排除しますか?
この累積的な更新プログラムは、以前リリースされた Internet Explorer 用のすべての更新プログラムを含み、さらに、新たに報告された 2 つの脆弱性を排除します。それらの脆弱性により、攻撃者はユーザーのシステム上で任意のコードを実行する可能性があります。
CAN-2003-0344 : オブジェクトタグの脆弱性
1 番目の脆弱性でどのようなことが起こる可能性がありますか?
これはバッファ オーバーランの脆弱性です。攻撃者がこの脆弱性を悪用した場合、ユーザーが攻撃者の管理する Web サイトを訪問すると、Internet Explorer で、ログオンしたユーザーのコンテキストで、任意のコードが実行される可能性があります。
何が原因で起こりますか?
この脆弱性は、Internet Explorer が Web ページでオブジェクト タグを処理する際に起こる未チェックのバッファのために起こります。
Internet Explorer がオブジェクトタグを処理する方法の何が問題になっていますか?
Internet Explorer が、オブジェクトを判断する方法に問題が存在します。Internet Explorer がオブジェクトの種類を判断する際にパラメータのチェックが適切に行われず、バッファ オーバーランが起こる可能性があります。そのバッファ オーバーランにより、Internet Explorer が異常終了するかまたは攻撃者がユーザーのコンピュータ上で任意のコードを実行する可能性があります。
この脆弱性により、攻撃者は何ができますか?
この脆弱性により、攻撃者は Internet Explorer を異常終了させ、攻撃者の任意のコードを実行する恐れがあります。これにより、攻撃者はその際にログインしているユーザーのセキュリティ コンテキストでユーザーのシステム上であらゆる操作を行う可能性があります。
攻撃者はどのようにこの脆弱性を悪用する可能性がありますか?
攻撃者は、特別に作成した Web ページをホストすることによって、この脆弱性を悪用しようとする可能性があります。ユーザーがそのような Web ページを訪問した場合、Internet Explorer が異常終了し、ユーザーのコンテキストで任意のコードが実行される可能性があります。また、攻撃者がこの脆弱性を悪用する HTML 形式の電子メールを作成する可能性もあります。
この累積的な更新プログラムは何を修正しますか?
この更新プログラムは Internet Explorer が Web ページのオブジェクトの種類を判断する際に、適切なチェックが行われるように修正し、この脆弱性を解決します。
CAN-2003-0309: ファイルのダウンロードダイアログの脆弱性
2 番目の脆弱性でどのようなことが起こる可能性がありますか?
これはフラッディングの脆弱性です。Internet Explorer が 1 度に多数のリクエストで氾濫させられるため、この脆弱性が起こります。攻撃者がこの脆弱性を悪用した場合、ユーザーが攻撃者の管理する Web サイトを訪問すると、Internet Explorer で、ログオンしたユーザーのコンテキストで任意のコードが実行される可能性があります。
何が原因で起こりますか?
この脆弱性は、Internet Explorer が複数のファイルのダウンロード ダイアログを処理する方法に問題が存在するために起こります。
Internet Explorer が、複数のファイルのダウンロードダイアログを処理する方法の何が問題になっていますか?
ユーザーが Internet Explorer のファイルへのリンクをクリックすると、ファイルのダウンロードを確認するダイアログが表示され、ユーザーはファイルをローカルに保存する、開く、またはそのリクエストをキャンセルするかを選択することができます。Internet Explorer で Web ページが複数のファイル ダウンロード ダイアログを開く際に、ファイルが開かれてしまうという問題が存在します。ダウンロードしたファイルが開かれると、攻撃者によってユーザーのコンピュータ上で、任意のコードが実行される可能性があります。
この脆弱性により、攻撃者は何ができますか?
この脆弱性により、攻撃者は Internet Explorer を異常終了させ、Internet Explorer で攻撃者の任意のコードが実行される可能性があります。これにより、ユーザーのコンピュータ上で、攻撃者によってその際にログインしているユーザーのセキュリティ コンテキストであらゆる操作が実行される可能性があります。
攻撃者は特別に作成した Web ページをホストし、この脆弱性を悪用しようとする可能性があります。ユーザーがこのような Web ページを訪問すると、Internet Explorer が異常終了し、そのユーザーのコンテキストで任意のコードが実行される可能性があります。また、攻撃者はこの脆弱性を悪用する HTML 形式の電子メールも作成する可能性があります。
この累積的な更新プログラムは何を修正しますか?
この更新プログラムは Internet Explorer が複数のファイルのダウンロード ダイアログを適切に処理するようにし、この脆弱性を解決します。
Windows Server 2003 で Internet Explorer を実行しています。これらの脆弱性の影響は緩和されますか?
はい。Windows Server 2003 上の Internet Explorer は、既定でセキュリティ強化の構成という制限されたモードで実行されます。Internet Explorer のセキュリティ強化の構成は、ユーザーまたは管理者が悪質な Web コンテンツをサーバーにダウンロードし、実行する危険性を低減する Internet Explorer のあらかじめ構成された設定の集合体です。Internet Explorer のセキュリティ強化の構成は、インターネット オプションの [セキュリティ] タブ、[詳細設定] タブなどの多くのセキュリティ設定を変更することにより、このような危険性を低減します。主な設定の変更に、以下のようなものがあります。
- インターネット ゾーンのセキュリティ レベルを [高] に設定。この設定により、スクリプト、ActiveX コントロール、Microsoft 仮想マシン (Microsoft VM)、HTML コンテンツおよびファイル ダウンロードが無効にされます。
- イントラネット サイトの自動検出を無効に設定。この設定では、すべてのイントラネットの Web サイトおよびローカル イントラネット ゾーンに明示的に一覧されていない汎用名前付け規則 (UNC) のすべてのパスがインターネット ゾーンに割り当てられます。
- オンデマンドのインストールおよびマイクロソフト以外のブラウザ拡張を無効に設定。この設定は、Web ページが自動的にコンポーネントをインストールするのを防ぎ、マイクロソフト以外の拡張が実行されないようにします。
- マルチメディア コンテンツを無効に設定。この設定により、音楽、アニメーション、ビデオ クリップが実行されなくなります。
Internet Explorer のセキュリティ強化の構成が無効にされている場合、これらの脆弱性の悪用を防ぐ防御策が削除されます。Internet Explorer のセキュリティ強化の構成に関する詳細は、以下のサイトの Internet Explorer のセキュリティ強化の構成の管理ガイドをご覧ください。
http://www.microsoft.com/japan/windowsserver2003/developers/iesecconfig.mspx
Windows Server 2003 で、その他に Internet Explorer のセキュリティ強化の構成が無効にされる構成はありますか?
はい、あります。Windows Server 2003 をターミナル サーバーとして展開しているシステム管理者が、ターミナル サーバーのユーザーが制限されていないモードで Internet Explorer を使用できるようにセキュリティ強化の構成を無効に設定している可能性があります。
この更新プログラムは HTML ヘルプ機能にどのような影響を及ぼしますか?
これは累積的な更新プログラムであるため、Internet Explorer 向けに以前にリリースされた更新プログラムが含まれ、showHelp() (英語情報) 機能が使用される際には常に、適切なクロス ドメイン セキュリティ チェックが行われるようにし、この脆弱性を解決します。この修正により、マイクロソフト サポート技術情報 811630 に記載されたように、最新の更新を適用していない場合、HTML ヘルプ機能が異常終了します。HTML ヘルプ機能を引き続き使用するためには、この累積的な更新プログラムを適用する場合、最初にこの累積的な更新プログラムを適用し、その後アップデート版の HTML ヘルプをダウンロードし、インストールすることを推奨します。
マイクロソフトサポート技術情報811630からアップデートをインストールしました。この更新プログラムをインストールした後、HTML ヘルプは適切に機能しますか?
はい。MS03-004 または MS03-015 (MS03-004 の修正が含まれます) から Internet Explorer の累積的なアップデートを適用した際に、マイクロソフト サポート技術情報 811630 から HTML ヘルプの更新プログラムを既にインストールしてあった場合、HTML ヘルプ アップデートを再度インストールする必要はありません。
HTML ヘルプショートカット機能とは何ですか?
ユーザーがヘルプ ファイルを参照する際に、ユーザーが、ヘルプ トピックのある特定の言葉、フレーズ、グラフィックをクリックすると、HTML ヘルプによってショートカットが作成される場合があります。この機能自体は脆弱性の影響は受けませんが、マイクロソフト セキュリティ情報MS03-004 で説明された脆弱性など、クロス ドメインのセキュリティ上の脆弱性が組み合わされて悪用された場合、この機能により攻撃者は、ユーザーのコンピュータで任意のコードを実行する可能性があります。HTML ヘルプは更新され、この攻撃の方法から危険は低減し、この種類の攻撃に対する高度な保護が提供されました。この機能に関する詳細は、http://msdn2.microsoft.com/en-us/library/ms524349 (英語情報) をご覧ください。
この更新プログラムを適用するだけで、HTML ヘルプショートカットの脆弱性から保護されますか?
はい。この更新プログラムを適用すれば Internet Explorer の showHelp の使用に影響を及ぼす脆弱性から保護されます。しかし、悪意のある Web サイト管理者が、ユーザーのローカル システムに既に存在する実行可能ファイルを開始する攻撃を防ぐために、この更新プログラムは showHelp を無効にすることにご注意ください。showHelp の機能を完全に復元するためには、マイクロソフト サポート技術情報 811630 で説明されている HTML ヘルプの最新のバージョンをインストールする必要があります。
HTML ヘルプの最新の HTML ヘルプをインストールした場合、その機能は変更されますか?
HTML ヘルプの最新版がインストールされると、ヘルプ ファイルが showHelp メソッドで開かれる際に以下の制限が発生します。
- Web ページまたはヘルプ (chm) ファイルを開く際に showHelp で使用できるのは、サポートされたプロトコルのみです。
- HTML ヘルプによってサポートされているショートカット機能は、showHelp でヘルプ ファイルを開く際に無効にされます。ユーザーが CHM ファイルをダブルクリックするか、または HTMLHELP( ) API を使用するローカル システム上のアプリケーションを呼び出すことによって手動でその CHM ファイルを開いた場合、ショートカット機能にこの変更による影響は及びません。
更新された HTML ヘルプはどこからインストールすることができますか?
更新された HTML ヘルプは Microsoft Update か、またはマイクロソフト サポート技術情報 811630 に記載されているリンク先に移動することによってインストールすることができます。
この脆弱性に対する更新プログラムには、更新された HTML ヘルプが含まれていますか?
いいえ、含まれません。ユーザーは HTML ヘルプ アップデート (811630) を前述のどちらかの場所から別途ダウンロード、インストールする必要があります。
この更新プログラムには MS02-009 に対する修正が含まれていますか?
いいえ、含まれていません。MS02-009 に対する修正は、VBScript の更新プログラムです。MS02-009 に対する修正は、累積的な更新プログラムよりも広範囲の修正が含まれる Internet Explorer の次回のサービス パックに含まれる予定です。(Internet Explorer 6 SP1 には、MS02-009 に対する修正は含まれています。)