MS03-014は、Outlook Expressの脆弱性に対する修正プログラムですが、マイクロソフトは「Outlook Expressの使用の如何にかかわらず、Outlook ExpressがインストールされたすべてのWindows環境が対象となります」と説明しています。これは、現在マイクロソフトがサポート対象としているWindowsでは、Outlook Expressが標準機能としてインストールされており、Outlook Expressの使用有無にかかわらず、今回の脆弱性の原因となる「MHTML（→キーワード）ファイルを処理するURLハンドラ」がシステムに存在するためです。

　今回の脆弱性は、Outlook ExpressがMHTML形式でエンコードされた電子メールやWebページを表示する際に利用するURLハンドラの処理に起因するものです。この脆弱性により、攻撃者はユーザーのコンピュータ上のファイルを読み取ったり、プログラムをローカル コンピュータ ゾーンで起動したりできるようになります。ローカル コンピュータ ゾーンは、ユーザーのコンピュータ上に存在するコンテンツの実行などで使用される暗黙的なセキュリティ・ゾーンです。ローカル コンピュータ ゾーンでは、実行されたスクリプトやプログラムがコンピュータ上のファイルへアクセスしたり、操作したりすることが許可されています。そのため、この脆弱性を悪用すると、最悪の場合、システムの破壊などが可能になります。

■MHTML（MIME Encapsulation of Aggregate HTML）
　複数のWebページ（HTMLコンテンツ）や画像を含むWebページを単一ファイルとして保存したり、電子メールで簡単に送付したりするための標準仕様。

　修正プログラムは、UpdateEXPERTが管理対象とするすべての適用対象プラットフォームで適用テストに通過しました。

　マイクロソフトのTechNetセキュリティ情報では、MS03-014の問題を緩和する要素として、MS03-004の適用を推奨しています。しかし、MS03-004をInternet Explorer 6.0 SP1に適用すると、いくつかの不具合が発生することが報告されています（マイクロソフト サポート技術情報：814895）。また、MS03-004を含む累積的な修正として、すでにMS03-015が提供されています。HotFixテスティング・チームでは、MS03-015の適用によって、MS03-004で発生したOutlook Expressの不具合が解決されたことをテスト環境において確認しています（ただしテストは組織的なものではなく、新たな不具合の発生などについて検証したわけではありません）。DA Labは、MS03-004を単独で適用するのではなく、MS03-015の適用を推奨します。ただしMS03-015についても、お手元の環境で不具合が発生しないかどうか、事前に動作検証が必要であることは変わりありません。

　また、脆弱性の影響を受けるソフトウェアについて、マイクロソフトの「TechNetセキュリティ情報：MS03-014」では、対象ソフトウェアとしてOutlook Express 5.5／6のみを表記しています。しかし本文中では、Outlook 98／2000／2002においても電子メールによる攻撃が実行される可能性について言及しています。脆弱性の解説から判断すると、Outlook 98／2000／2002については脆弱性の影響を受けないものと思われますが、念のためこれらのOutlookユーザーもMS03-014の適用を検討してください。なおマイクロソフトは、電子メールの送受信にOutlook Expressを使用していない人を含む、すべてのユーザーに対して、MS03-014の適用を推奨しています。

　［展開ビュー］−［IE］タブに「名前： q330994.exe」で登録

　Outlook Expressの一部であるMHTML URLハンドラに脆弱性が存在し、ユーザーのコンピュータに既に存在するファイルをHTMLページとして表示させることができます。このため攻撃者がユーザーのコンピュータ上に悪意のあるスクリプトを記述したテキスト ファイルを配置できる場合は、今回のMHTML URLハンドラを悪用して、それをHTMLファイルとして開き、内部に仕掛けたスクリプトを実行させることが可能になります。

　攻撃者は、Webサイト内にMHTML形式を使用するURLを作成し、そこにユーザーを誘導（電子メールでURLを送るなど）することにより、この脆弱性を悪用する可能性があります。また、電子メールでMHTML形式のファイルを送ることでも攻撃が可能です。電子メールによる攻撃の場合、ユーザーが既定の構成でOutlook Express 6を使用している場合は、ユーザーが電子メールで送信された URLをクリックしない限り攻撃は実行されません。しかし、既定の構成を変更してOutlook Express 6を使用している場合は、電子メールに含まれるURLをクリックしなくても、攻撃が自動的に実行されてしまう可能性があります。

　Internet Explorerを起動し、［ヘルプ］−［バージョン情報］をクリックします。表示されたダイアログ ボックスの［更新バージョン］フィールドにQ330994が表示されていることを確認して下さい。

　手動で修正プログラムをインストールする場合は、以下のダウンロード先のリストで［Japanese］を選択してください。次に表示されるダウンロード ページから、Internet Explorerのバージョンを選択してダウンロードを行ってください。

http://www.microsoft.com/windows/ie/downloads/critical/330994/default.asp

　また、すべてWindows Updateからも修正プログラムの適用が可能です。