Internet Explorer用の累積的な修正プログラムである「MS03-032」または「MS03-040」を適用すると、修正プログラムのバグにより、JavaScriptが正しく動作しなくなり、フレームやウィンドウで「HTTP 404 - ファイル未検出」のエラーが発生することが明らかになりました。これは、スクリプト実行における相対URLの評価を、これまでは呼び出し側のURLを基準にしていたものを、修正プログラムのバグにより、呼ばれた側のURLを基準とするように変更されてしまったためです。そのため、相対URLでアクセスしようとした先のコンテンツが見つからず、「HTTP 404」エラーが発生します。

　現在、この障害に対するInternet Explorer（IE） 6.0 SP1用の修正プログラムに限り、マイクロソフトの「サポート技術情報：827667」で提供されています。そのほかのIE 5.01 SP3／SP4、IE 5.5 SP2、IE 6.0 SP未適用に対する修正プログラムは提供されていません。そのため、現時点でこの問題を回避するには、Webサーバ側でJavaScriptの内容を修正し、絶対参照のURLに変更する必要があります。

・マイクロソフト サポート技術情報 827667（[IE] Q822925またはQ828750を適用すると相対URLを使用したスクリプトでHTTP 404エラーが発生する）：
http://support.microsoft.com/default.aspx?scid=kb;ja;827667

　なおこの修正プログラムは、MS03-032とMS03-040に対して有効です。ただし、「サポート技術情報：827667」の修正プログラムを適用後にMS03-040を適用した場合、「サポート技術情報：827667」の修正は無効になってしまうので、再度、「サポート技術情報：827667」の修正プログラムを適用してください。

　MS03-032（Internet Explorerがオブジェクトの種類を適切に確認できないため任意のプログラムが実行できる可能性などを含む、Internet Explorerの累積的な修正）の修正プログラムを適用後、ウィンドウ内のJavaScript関数によって開かれるWebページにアクセスすると、「HTTP 404 - ファイル未検出」のエラー・メッセージが表示される場合があることが明らかになりました。マイクロソフトは、この問題の影響を受けるのはInternet Explorer 6.0 SP1のみであるとしています。

・サポート技術情報 827667：
http://support.microsoft.com/default.aspx?scid=kb;ja;827667

　この問題は、MS03-032の修正プログラムによって、スクリプトに記述されているサイトのURLが、JavaScriptの関数により絶対URLに変換されるために発生します。このためJavaScript関数でWebページを開くために相対URLを使用している場合、修正プログラムによる仕様変更の影響を受けて、WebページのURLが不適切となり、上述のエラー・メッセージが表示されます。

　MS03-032の修正プログラムは、「オブジェクト・タグの脆弱性」が完全に修正されていないといった問題もあり、新しいバージョンがリリースされることが明らかになっています。この新たな修正プログラムが提供されるまで、表示するWebページの内容によってはこのエラーが発生し、正しく表示できない可能性があります。一方、JavaScript関数内で相対URLを用いてリンクを記述しているWebサイトの管理者は、この影響でページが正しく表示されない可能性があることにご注意ください。可能ならば、相対URLを絶対URLに書き換えることをお勧めします。

　Bugtraqなどのセキュリティ関連のメーリング・リストによれば、マイクロソフトの「TechNetセキュリティ情報：MS03-004」のshowHelp() 機能（ヘルプ・コンテンツを含むHTMLページを表示するために使用されるヘルプ・メソッドの1つ）の脆弱性ならびに、「TechNetセキュリティ情報：MS03-020／MS03-032」のInternet Explorerのオブジェクト・タグの脆弱性が解消されていないとのことです。メーリング・リストでは、実証コード（エクスプロイト・コード）が配布されており、多くの環境において脆弱性が解消されていないという報告がなされています。実際、弊社のテスト環境（Windows 2000 SP4＋Internet Explorer 6.0 SP1にMS03-032適用済み）において、実証コードを実行したところ、脆弱性が存在することが確認できました。どちらの脆弱性も、実証コードが提供済みであり、悪用が容易であることから、非常に危険性の高いものとなっています。

・TechNetセキュリティ情報：MS03-004：
http://www.microsoft.com/japan/technet/security/bulletin/MS03-004.asp

・TechNetセキュリティ情報：MS03-020：
http://www.microsoft.com/japan/technet/security/bulletin/MS03-020.asp

・TechNetセキュリティ情報：MS03-032：
http://www.microsoft.com/japan/technet/security/bulletin/MS03-032.asp

　2003年9月9日にマイクロソフトは、「MS03-032の修正プログラムでオブジェクト・タグの脆弱性が解消されない」との報告を受けていることを認めました。また、「マイクロソフトはこれらの報告を調査しており、これらの問題を修正する更新版修正プログラムとともに、このセキュリティ情報を再リリースする予定です」と述べています。しかし、更新版の修正プログラムのリリース時期については明らかにしていません。現在、これらの脆弱性を悪用したワームなどは報告されていませんが、更新版修正プログラムが提供されるまで危険な状態が続きます。危険性を緩和するため、Internet Explorerの［インターネット オプション］−［セキュリティ］タブ−［インターネット］ならびに［イントラネット］の「レベルのカスタマイズ」で、［ActiveXコントロールとプラグイン］ならびに［スクリプト］のすべてにおいて［ダイアログを表示する］または［無効にする］に設定するなど、セキュリティ・レベルを強化してください。

　なおMS03-032は、複数の脆弱性を解消するものです。オブジェクト・タブの脆弱性以外にも、Internet Explorerのクロスドメイン・セキュリティ・モデル (異なるドメインのウィンドウが情報を共有しないようにする) に関連する脆弱性などを解消します。MS03-032の修正プログラムは必ず適用してください。

［追加情報］2003年9月9日夜にHotFix Weeklyを配信後、MS03-032の脆弱性を悪用するワームがすでに登場していることが判明しました。

　マイクロソフトは、8月21日に提供を開始したMS03-032の修正プログラムのうち、Windows XP Professional用のもので障害が発生することを明らかにしました。障害の内容は、Windows XP ProfessionalにMicrosoft ASP.NET 1.0をインストールしている環境において、ASP.NETに対する要求を行うと、「サーバー アプリケーションは現在使用できません。」というエラー・メッセージが表示されるというものです。

　この問題を回避するためのバッチプログラムがマイクロソフトの「サポート技術情報：827641」で提供されています。上述の環境でASP.NETをご利用の場合は、「サポート技術情報：827641」に記述されているバッチプログラムをメモ帳などにコピーして実行してください。また、ASP.NET 1.1ではこの障害は発生しません。ASP.NET 1.1が含まれる.NET Framework 1.1にバージョン・アップすることでも障害の回避が可能です。

・マイクロソフト サポート技術情報 827641：
http://support.microsoft.com/default.aspx?scid=kb;ja;827641

　マイクロソフトの「サポート技術情報：822925（英語版）」では、「この修正プログラムを適用したら、再起動後に管理者権限で1回ログオンする必要がある」と記していました。HotFixテスティング・チームでは、テストの結果、ログオンしなくてもレジストリやファイル・バージョンは適用が完了した状態になることを確認しました。しかし、「サポート技術情報：822925（日本語版）」に情報が追加され、以下の環境では再起動後に管理者権限でのログオンが必要であることが明らかになりました。

• Windows NT 4.0／2000＋Internet Explorer 5.01
• Windows 2000＋Internet Explorer 5.5 SP2

　ただし、Windows NT 4.0 ＋ Internet Explorer 5.01の組み合わせは、MS03-032の修正プログラムの対象範囲外です。そのため、再起動後に管理者権限でのログオンが必要となるのは、正確には「Windows 2000＋Internet Explorer 5.01 SP3／SP4」の組み合わせのみとなります。

・マイクロソフト サポート技術情報 822925（英語版）：
http://support.microsoft.com/default.aspx?scid=kb;en-us;822925

・マイクロソフト サポート技術情報 822925（日本語版）：
http://www.microsoft.com/japan/technet/security/bulletin/MS03-032.asp