深刻度
|
→ |
1(緊急) |
|
2(重要) |
|
3(警告) |
|
4(注意) |
|
対策
|
至急適用
|
対象環境
|
|
再起動の必要性
|
あり
|
アンインストール
|
可
|
セキュリティ情報
|
|
サポート技術情報
|
|
よく寄せられる質問
|
|
含まれる過去の修正
|
|
脆弱性識別番号
|
|
更新履歴
|
2003/04/24 セキュリティ情報ページを公開 |
|
MS03-015/813489 |
ユーザーのコンピュータ上で任意のコードが実行可能になるなど、新たに確認された4つの脆弱性を含むInternet Explorerの累積的な修正 |
(Internet Explorer用の累積的な修正プログラム) |
|
|
対応策 |
修正プログラムの適用作業を至急開始してください。 |
|
概要
|
Internet Explorer(以下IE)に関する4つの脆弱性が確認されました。これらの脆弱性はいずれも重大なもので、IEのすべてのユーザーに影響を及ぼします。具体的には、これらの脆弱性を悪用することで、攻撃者はユーザーのシステム上で任意のコードを実行したり、ユーザーのコンピュータにあるファイルをWebサーバにアップロードしたりできます。今回提供された修正プログラムには、これらの新しい脆弱性の修正に加え、IE
5.01/5.5/6用として過去にリリースされたすべての修正プログラムの機能が含まれています。新規に確認された脆弱性は、以下の4つです。
- Urlmon.dllのバッファ オーバーランの脆弱性: ユーザーが攻撃者のWebサイトを単に訪問しただけで、IEが異常終了し、ユーザーのコンピュータ上で任意のコードが実行される可能性があります。この際に攻撃者のプログラムは、そのときログオンしているユーザーの権限で実行されます。最悪の場合はシステムが破壊される危険性もあります。
- スクリプトからの入力をIEファイル アップロード コントロールに渡す脆弱性: ユーザーのコンピュータから、ファイルを攻撃者のWebサーバにユーザーの操作なしでアップロードすることを可能とします。つまり、ユーザーのハードディスク上にあるファイルが盗まれる危険性があります。この脆弱性を悪用するには、攻撃者は何らかの方法で攻撃を仕掛けたWebページにユーザーを誘導し、なおかつハードディスク上のファイルの正確な場所とファイル名を知っている必要があります。
- IEがサードパーティ製プライグンに対応したファイルを表示(レンダリング)する方法に存在する問題: この脆弱性により、IEがローカル コンピュータ
ゾーンで攻撃者のスクリプトを実行する可能性があります。「ローカル コンピュータ ゾーン」は、ユーザーのコンピュータ上に存在するコンテンツ(ローカル ディスクに含まれるファイルなど)に対して適用される暗黙のゾーンであり、高い信頼レベルで処理されます(「インターネット」などほかのゾーンでは不可能な処理も可能になる場合があります)。IEのインターネット
ゾーンやイントラネット ゾーンのサイトに対してスクリプト実行を禁止している場合でも、この脆弱性を悪用することで、攻撃者のスクリプトが実行されてしまいます。
- IEのモーダル ダイアログ処理に存在する問題: ユーザーに対して確認用として表示されるモーダル ダイアログ(そのダイアログが表示されている間は、別のウィンドウをアクティブにできないようなダイアログ)をIEが表示する処理に問題があります。ユーザーが攻撃者のWebページを訪問したときに、ダイアログが作成されるような特定のコマンドが実行され、そのダイアログにより、ローカル
コンピュータ上のファイルにアクセスするスクリプトが自動的に実行される可能性があります。これにより、ユーザーのファイルが盗まれる危険性があります。この脆弱性を悪用するには、攻撃者は攻撃手段を仕掛けたWebページにユーザーを誘導し、なおかつハードディスク上のファイルの正確な場所とファイル名を知る必要があります。
今回提供された修正プログラム(MS03-015)を適用すれば、上記の脆弱性はすべて解消されますが、脆弱性を排除するためHTMLヘルプの表示を行うshowHelpメソッドを無効にします。これにより、HTMLヘルプが表示できなくなります。この機能を復元するためには、最新のHTMLヘルプ
コントロール(マイクロソフトのサポート技術情報:811630)をインストールしてください。
|
|
DA Lab:HotFixテスティング・チームからのコメント |
修正プログラムは、UpdateEXPERTが管理対象とするすべての適用対象プラットフォームにおいて適用テストを通過しました。
MS03-015は累積的な修正プログラムであり、内部にはMS03-004を含みます。このMS03-004については、IE6.0 SP1に対する適用によって、いくつかの不具合が発生することがマイクロソフトによって報告されています(マイクロソフト
サポート技術情報:814895)。しかし今回提供されたMS03-015を適用することで、これらの不具合も解決するとマイクロソフトは説明しています。HotFixテスティング・チームでは、MS03-015の適用によって、MS03-004で発生したOutlook
Expressの不具合(マイクロソフト サポート技術情報:814803)が解決されたことをテスト環境において確認していますが、そのほかの不具合については検証できていません。したがって、MS03-015をIE6.0
SP1に対して適用するときには、事前にお手元の環境で動作検証を行った上で実行してください。また、今回のMS03-015と同時に提供が開始されたMS03-014では、「問題を緩和する要素」としてMS03-004の適用を勧めていますが、前述のとおり不具合が発生する可能性があるため、MS03-004を単独で適用するのではなく、MS03-015を適用してください。UpdateEXPERTでは、コンピュータにMS03-015が適用されると、アップデート
ペインに「MS03-004」が表示されないように変更しました(MS03-015 が未適用だとMS03-004も表示されます)。
|
|
対象プラットフォーム
|
修正プログラムを適用するには、以下の対象プラットフォームに示されているサービスパックの適用が必要になります。
影響を受けるソフトウェア |
対象プラットフォーム |
Internet Explorer 5.01 |
Windows 2000 SP3+IE 5.01 SP3 |
Internet Explorer 5.5 |
Windows 98 SE/Me/NT 4.0 SP6a/2000 SP3+IE 5.5 SP2 |
Internet Explorer 6 |
Windows XP SP未適用+IE 6 |
Internet Explorer 6 SP1 |
Windows 98 SE/Me/NT 4.0 SP6a/2000 SP2/2000 SP3/XP SP1/XP SP1a+IE
6 SP1 |
(注意)Windows 98 SE/Meは、UpdateEXPERTのサポート対象外です。
|
|
予想適用時間 |
修正プログラム名 |
50台 |
100台 |
250台 |
500台 |
q813489.exe
(Internet Explorer 5.01) |
19分 |
27分 |
53分 |
1時間36分 |
q813489.exe
(Internet Explorer 5.5) |
19分 |
27分 |
53分 |
1時間36分 |
q813489.exe
(Internet Explorer 6) |
19分 |
27分 |
53分 |
1時間37分 |
q813489.exe
(Internet Explorer 6 SP1) |
19分 |
27分 |
53分 |
1時間36分 |
この表は、1コンソールのUpdateEXPERTで、今回の修正プログラムを適用するのにかかる時間を概算したものです。ネットワーク環境や適用するコンピュータの性能などによって適用時間は異なります。あくまでも目安としてご利用ください。
|
|
UpdateEXPERT上の表示 |
[展開ビュー]−[IE]タブに「名前: q813489.exe」で登録
|
|
脆弱性の内容 |
新規に追加された脆弱性は、以下の4つです。
- Urlmon.dllのバッファ オーバーランの脆弱性: IEがWebサーバから受け取った情報の通信リクエストのパラメータを適切にチェックしないために起こります。
- スクリプトからの入力をIEファイル アップロード コントロールに渡す脆弱性: ユーザーのコンピュータからWebサイトにファイルをアップロードするためのユーザー
インターフェイスを提供するIEの機能であるIEファイル アップロード コントロールが受信するファイル アップロードのリクエストを処理する際のパラメータ チェックに問題があります。
- IEがサードパーティ製プライグンに対応したファイルを表示(レンダリング)する方法に存在する問題: IEにインストールされたサードパーティ製プラグイン用のファイルを開く場合に、そのファイルをブラウザで表示する際のパラメータ
チェックに問題があります。
- IEのモーダル ダイアログ処理に存在する問題: IEがモーダル ダイアログを作成する際に使用される特定のパラメータに長さや内容などをチェックしないものがあるために起きる脆弱性です。モーダル
ダイアログを作成するために使われる、バックグランド カラーなどを指定する「キャスケーディング スタイル シート」内の特定パラメータにおいてチェックが行われないため、ここに特定のコード(スクリプト)を忍び込ませることで、その実行を可能にします。
|
|
適用されるファイル情報 |
以下のファイルにパッチが適用されます。障害の発生が懸念される場合は、これらのファイルのバックアップを取ってください。
・Internet Explorer 5.01 SP3:
ファイル名 |
日付 |
バージョン |
サイズ |
機能 |
q813489.exe |
2003/04/24 |
5.50.4134.600 |
1,968,512 |
|
展開ファイル |
%SystemRoot%\system32 |
Mshtml.dll |
2003/03/28 |
5.0.3516.2800 |
2,357,008 |
Microsoft HTML Viewer |
Pngfilt.dll |
2002/10/14 |
5.0.3510.1100 |
48,912 |
IE PNG plugin image decoder |
Shdocvw.dll |
2003/02/28 |
5.0.3513.900 |
1,108,752 |
Shell Doc Object and Control Library |
Url.dll |
2003/02/28 |
5.50.4915.500 |
84,240 |
Internet Shortcut Shell Extension DLL |
Urlmon.dll |
2003/03/21 |
5.0.3516.2100 |
451,344 |
OLE32 Extensions for Win32 |
Wininet.dll |
2003/02/28 |
5.0.3506.1000 |
461,584 |
Internet Extensions for Win32 |
・Internet Explorer 5.5 SP2:
ファイル名 |
日付 |
バージョン |
サイズ |
機能 |
q813489.exe |
2003/04/24 |
5.50.4925.2200 |
2,212,240 |
|
展開ファイル |
%SystemRoot%\system32 |
Mshtml.dll |
2003/02/25 |
5.50.4926.2500 |
2,759,440 |
Microsoft HTML Viewer |
Pngfilt.dll |
2002/10/16 |
5.50.4922.900 |
48,912 |
IE PNG plugin image decoder |
Shdocvw.dll |
2003/02/25 |
5.50.4923.500 |
1,149,200 |
Shell Doc Object and Control Library |
Url.dll |
2003/02/25 |
5.50.4915.500 |
84,240 |
Internet Shortcut Shell Extension DLL |
Urlmon.dll |
2003/03/21 |
5.50.4927.2100 |
451,344 |
OLE32 Extensions for Win32 |
Wininet.dll |
2003/02/25 |
5.50.4918.600 |
481,552 |
Internet Extensions for Win32 |
・
Internet Explorer 6:
ファイル名 |
日付 |
バージョン |
サイズ |
機能 |
q813489.exe |
2003/04/24 |
6.0.2800.1168 |
2,499,192 |
|
展開ファイル |
%SystemRoot%\system32 |
Mshtml.dll |
2003/03/24 |
6.0.2726.2500 |
2,762,240 |
Microsoft HTML Viewer |
Pngfilt.dll |
2003/03/24 |
6.0.2722.900 |
34,304 |
IE PNG plugin image decoder |
shdoclc.dll |
2003/03/24 |
6.0.2715.400 |
548,864 |
Shell Doc Object and Control Library |
Shdocvw.dll |
2003/03/24 |
6.0.2723.100 |
1,336,320 |
Shell Doc Object and Control Library |
Url.dll |
2003/03/24 |
6.0.2715.400 |
109,568 |
Internet Shortcut Shell Extension DLL |
Urlmon.dll |
2003/03/24 |
6.0.2727.2400 |
481,280 |
OLE32 Extensions for Win32 |
Wininet.dll |
2003/03/24 |
6.0.2718.400 |
583,168 |
Internet Extensions for Win32 |
・
Internet Explorer 6 SP1:
ファイル名 |
日付 |
バージョン |
サイズ |
機能 |
q813489.exe |
2003/04/24 |
6.0.2800.1168 |
2,056,832 |
|
展開ファイル |
%SystemRoot%\system32 |
Mshtml.dll |
2003/02/24 |
6.0.2800.1170 |
2,787,840 |
Microsoft HTML Viewer |
Shdocvw.dll |
2003/02/24 |
6.0.2800.1170 |
1,339,904 |
Shell Doc Object and Control Library |
Urlmon.dll |
2003/03/24 |
6.0.2800.1170 |
483,328 |
OLE32 Extensions for Win32 |
|
|
確認方法 |
Internet Explorerを起動し、[ヘルプ]−[バージョン情報]をクリックします。表示されたダイアログ ボックスの[更新バージョン]フィールドにQ813489が表示されていることを確認して下さい。
|
|
修正プログラム |
手動で修正プログラムをインストールする場合は、以下のダウンロード先のリストで[Japanese]を選択してください。次に表示されるダウンロード ページから、Internet Explorerのバージョンを選択してダウンロードを行ってください。
http://www.microsoft.com/windows/ie/downloads/critical/813489/download.asp
また、MS03-015の全修正プログラムはWindows
Updateからも適用可能です。
|
|
|