Internet Explorer（以下IE）に関する4つの脆弱性が確認されました。これらの脆弱性はいずれも重大なもので、IEのすべてのユーザーに影響を及ぼします。具体的には、これらの脆弱性を悪用することで、攻撃者はユーザーのシステム上で任意のコードを実行したり、ユーザーのコンピュータにあるファイルをWebサーバにアップロードしたりできます。今回提供された修正プログラムには、これらの新しい脆弱性の修正に加え、IE 5.01／5.5／6用として過去にリリースされたすべての修正プログラムの機能が含まれています。新規に確認された脆弱性は、以下の4つです。

• Urlmon.dllのバッファ オーバーランの脆弱性： ユーザーが攻撃者のWebサイトを単に訪問しただけで、IEが異常終了し、ユーザーのコンピュータ上で任意のコードが実行される可能性があります。この際に攻撃者のプログラムは、そのときログオンしているユーザーの権限で実行されます。最悪の場合はシステムが破壊される危険性もあります。
• スクリプトからの入力をIEファイル アップロード コントロールに渡す脆弱性： ユーザーのコンピュータから、ファイルを攻撃者のWebサーバにユーザーの操作なしでアップロードすることを可能とします。つまり、ユーザーのハードディスク上にあるファイルが盗まれる危険性があります。この脆弱性を悪用するには、攻撃者は何らかの方法で攻撃を仕掛けたWebページにユーザーを誘導し、なおかつハードディスク上のファイルの正確な場所とファイル名を知っている必要があります。
• IEがサードパーティ製プライグンに対応したファイルを表示（レンダリング）する方法に存在する問題： この脆弱性により、IEがローカル コンピュータ ゾーンで攻撃者のスクリプトを実行する可能性があります。「ローカル コンピュータ ゾーン」は、ユーザーのコンピュータ上に存在するコンテンツ（ローカル ディスクに含まれるファイルなど）に対して適用される暗黙のゾーンであり、高い信頼レベルで処理されます（「インターネット」などほかのゾーンでは不可能な処理も可能になる場合があります）。IEのインターネット ゾーンやイントラネット ゾーンのサイトに対してスクリプト実行を禁止している場合でも、この脆弱性を悪用することで、攻撃者のスクリプトが実行されてしまいます。
• IEのモーダル ダイアログ処理に存在する問題： ユーザーに対して確認用として表示されるモーダル ダイアログ（そのダイアログが表示されている間は、別のウィンドウをアクティブにできないようなダイアログ）をIEが表示する処理に問題があります。ユーザーが攻撃者のWebページを訪問したときに、ダイアログが作成されるような特定のコマンドが実行され、そのダイアログにより、ローカル コンピュータ上のファイルにアクセスするスクリプトが自動的に実行される可能性があります。これにより、ユーザーのファイルが盗まれる危険性があります。この脆弱性を悪用するには、攻撃者は攻撃手段を仕掛けたWebページにユーザーを誘導し、なおかつハードディスク上のファイルの正確な場所とファイル名を知る必要があります。

　今回提供された修正プログラム（MS03-015）を適用すれば、上記の脆弱性はすべて解消されますが、脆弱性を排除するためHTMLヘルプの表示を行うshowHelpメソッドを無効にします。これにより、HTMLヘルプが表示できなくなります。この機能を復元するためには、最新のHTMLヘルプ コントロール（マイクロソフトのサポート技術情報：811630）をインストールしてください。

　修正プログラムは、UpdateEXPERTが管理対象とするすべての適用対象プラットフォームにおいて適用テストを通過しました。

　MS03-015は累積的な修正プログラムであり、内部にはMS03-004を含みます。このMS03-004については、IE6.0 SP1に対する適用によって、いくつかの不具合が発生することがマイクロソフトによって報告されています（マイクロソフト サポート技術情報：814895）。しかし今回提供されたMS03-015を適用することで、これらの不具合も解決するとマイクロソフトは説明しています。HotFixテスティング・チームでは、MS03-015の適用によって、MS03-004で発生したOutlook Expressの不具合（マイクロソフト サポート技術情報：814803）が解決されたことをテスト環境において確認していますが、そのほかの不具合については検証できていません。したがって、MS03-015をIE6.0 SP1に対して適用するときには、事前にお手元の環境で動作検証を行った上で実行してください。また、今回のMS03-015と同時に提供が開始されたMS03-014では、「問題を緩和する要素」としてMS03-004の適用を勧めていますが、前述のとおり不具合が発生する可能性があるため、MS03-004を単独で適用するのではなく、MS03-015を適用してください。UpdateEXPERTでは、コンピュータにMS03-015が適用されると、アップデート ペインに「MS03-004」が表示されないように変更しました（MS03-015 が未適用だとMS03-004も表示されます）。

　［展開ビュー］−［IE］タブに「名前： q813489.exe」で登録

　新規に追加された脆弱性は、以下の4つです。

• Urlmon.dllのバッファ オーバーランの脆弱性： IEがWebサーバから受け取った情報の通信リクエストのパラメータを適切にチェックしないために起こります。
• スクリプトからの入力をIEファイル アップロード コントロールに渡す脆弱性： ユーザーのコンピュータからWebサイトにファイルをアップロードするためのユーザー インターフェイスを提供するIEの機能であるIEファイル アップロード コントロールが受信するファイル アップロードのリクエストを処理する際のパラメータ チェックに問題があります。
• IEがサードパーティ製プライグンに対応したファイルを表示（レンダリング）する方法に存在する問題： IEにインストールされたサードパーティ製プラグイン用のファイルを開く場合に、そのファイルをブラウザで表示する際のパラメータ チェックに問題があります。
• IEのモーダル ダイアログ処理に存在する問題： IEがモーダル ダイアログを作成する際に使用される特定のパラメータに長さや内容などをチェックしないものがあるために起きる脆弱性です。モーダル ダイアログを作成するために使われる、バックグランド カラーなどを指定する「キャスケーディング スタイル シート」内の特定パラメータにおいてチェックが行われないため、ここに特定のコード（スクリプト）を忍び込ませることで、その実行を可能にします。

Internet Explorerを起動し、［ヘルプ］−［バージョン情報］をクリックします。表示されたダイアログ ボックスの［更新バージョン］フィールドにQ813489が表示されていることを確認して下さい。

　手動で修正プログラムをインストールする場合は、以下のダウンロード先のリストで［Japanese］を選択してください。次に表示されるダウンロード ページから、Internet Explorerのバージョンを選択してダウンロードを行ってください。

http://www.microsoft.com/windows/ie/downloads/critical/813489/download.asp

　また、MS03-015の全修正プログラムはWindows Updateからも適用可能です。