Windowsの標準Webサーバ機能であるInternet Information Server（IIS） 4.0／Internet Information Services（IIS） 5.0／5.1を用いてWebサーバを公開している場合、攻撃の対象となります。

　MS03-018で解消される新たな脆弱性（詳細は、「脆弱性の内容」を参照のこと）のうち2つは、攻撃対象とするWebサイトにファイルのアップロードが必要になるため、ただちに悪用される可能性は低いと思われます。そのほかの脆弱性についても、緊急度はそれほど高くありませんが、いくつかの脆弱性を組み合わせることで危険性の高い攻撃が実行される可能性もあるので、できるだけ早く適用準備を開始してください。

　なおMS03-018の適用にあたっては、それ以前にMS02-050（証明書確認の問題により、IDが偽装される）で提供された修正プログラムを適用する必要があります。また、MS03-018はIISの累積的な修正プログラムですが、適用時に管理者の操作が必要となるIIS 4.0向けの修正プログラム、MS00-028、MS00-025、MS99-025、MS99-013は含まれていません（これらについては、MS03-018とは別途適用を行う必要があります）。

　修正プログラムは、UpdateEXPERTが管理対象とするすべての適用対象プラットフォームにおいて適用テストを通過しました。

　修正プログラムの適用にあたり、IIS 4.0では手作業によるIISサービスの停止と再起動が必要です。IIS 5.0でもサービスの停止と再起動は必要ですが、インストーラが自動的にこれを行うため、手作業は必要ありません。IIS 5.1では、サービスの停止・再起動自体が不要です。修正プログラムの適用後、インストーラが「システムの再起動が必要」という旨のダイアログを表示しますが、無視してかまいません。つまりWebサーバの可用性という意味では、IIS 4.0およびIIS 5.0ではサービスの一時停止が不可避、IIS 5.1ではサービスを継続したまま修正プログラム適用が可能です。なお、コンピュータを再起動する場合は、サービスを停止させる必要はありません。

　修正プログラムの適用によるサービスの停止から再開までは、1台当たり5分程度です。

・Internet Information Server 4.0
　［展開ビュー］−［IIS］タブに「名前：Q811114I.EXE」で登録

・Internet Information Services 5.0
　［展開ビュー］−［IIS］タブに「名前： Q811114_W2K_SP4_X86_JA.exe」で登録

・Internet Information Services 5.1
　［展開ビュー］−［IIS］タブに「名前： Q811114_WXP_SP2_x86_JPN.exe」で登録

　MS03-018では、新たに4つの脆弱性を解消しています。

・リダイレクトのクロスサイト・スクリプティング：
　 　IIS 4.0とIIS 5.0、IIS 5.1が対象となる脆弱性です。IISでは、存在しないWebページへのリクエストをWebブラウザが行った場合、エラー・ページを表示したり、ASP機能によりエラー・ページの代わりにサイト・マップや類似のURLのWebページへとリダイレクトしたりすることができます。このリダイレクトを行うASP機能にクロスサイト・スクリプティングの脆弱性があります。ASP機能がURLを正しくエンコードしないため、攻撃者がURLにスクリプトを仕込むことで、それを実行させることができます。

・サーバ・サイド・インクルードのWebページのバッファ・オーバーラン
　 IIS 5.0のみが対象となる脆弱性です。サーバ側でWebページの差し込みを行うサーバ・サイド・インクルード機能に脆弱性があります。サーバ・サイド・インクルードは、例えばサイト・ナビゲーション用のメニューを全ページに表示するなど、複数のWebページの一部として同じHTMLデータを共通して使うような場合によく利用される機能です。共通のHTMLデータを使って、ページを表示するときに全ページで差し込むようにしておけば、共通部分の変更は、1つのファイルを変更するだけで、すべてのWebページが変更されることになります。IIS 5.0では、サーバ・サイド・インクルードにおけるリクエストを正しく検証しないため、サーバ・ サイド・インクルードを利用したWebページに特別なファイル名を付けるなどすることで、バッファ・オーバーランが引き起こされる可能性があります。この脆弱性を攻撃するには、特別なファイル名を付けたサーバ・サイド・インクルードを用いるWebページをIISサーバにアップロードし、そのページをWebブラウザで参照し、IISがそのファイルをアクセスするように仕向ける必要があります。これにより、攻撃者が選択したプログラムなどが実行される可能性があります。

・ASPヘッダのサービス拒否
　IIS 4.0とIIS 5.0が対象となる脆弱性です。VB ScriptやJava Scriptなどで記述されたスクリプトをサーバ側で処理し、Webページを作成する機能である「Active Server Pages（ASP）」のヘッダの処理に脆弱性があり、IISが異常終了します。攻撃者は、過度に大きなヘッダを生成するようなスクリプトを含むASPファイルをIISにアップロードし、そのぺージをWebブラウザで表示させます。これにより、過度にメモリが消費され、IISが異常終了します。IIS 4.0では、自動的に再起動が行われないため、手動で起動し直す必要があります。

・WebDAVのサービス拒否
　 IIS 5.0とIIS 5.1が対象となる脆弱性です。分散オーサリングおよびバージョン管理を実現するWebDAVのエラー処理に脆弱性があります。XMLコマンドを含む過度に長いWebDAVリクエストに対する、特定の種類のXMLリクエストのエラー処理時に順序が不正になることで、IISが異常終了します。攻撃者は、不正なXMLデータを含む過度の長いWebDAVリクエストをIISに送ることで、IISを異常終了させることができます。

　このほか過去のIISに関連する脆弱性が解消されています。

　修正プログラムが正しく適用されたことを確認するには、UpdateEXPERT上で該当する修正プログラムの「インストール ステータス アイコン」がグレーから緑色に変わったことをご確認ください。また、各クライアント上で以下のレジストリ・キーが登録されていることでも確認できます。

・Internet Information Server 4.0
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Hotfix\Q811114

・Internet Information Services 5.0
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows 2000\SP4\Q811114

・Internet Information Services 5.1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows XP\SP2\Q811114

　手動で修正プログラムをインストールする場合は、以下のダウンロード先のリストで［日本語］を選択してください。次に表示されるダウンロード ページから、Internet Explorerのバージョンを選択してダウンロードを行ってください。

・Internet Information Server 4.0
http://www.microsoft.com/downloads/details.aspx?FamilyId=1DBC1914-98E9-4DED-ADBF-E9B374A1F79D&displaylang=ja

・Internet Information Services 5.0
http://www.microsoft.com/downloads/details.aspx?FamilyId=2F5D9852-4ADD-44F8-8715-AC3D7D7D94BF&displaylang=ja

・Internet Information Services 5.1
http://www.microsoft.com/downloads/details.aspx?FamilyId=77CFE3EF-C5C5-401C-BC12-9F08154A5007&displaylang=ja

　また、MS03-018の全修正プログラムはWindows Updateからも適用可能です。

　何らかの理由から、直ちに修正プログラムを適用できない場合には、以下に示す方法でも問題の一部を回避することができます。ただしこの回避策は、脆弱性を根本的に解決するものではありません。

　「サーバ・サイド・インクルードのWebページのバッファ・オーバーラン」と「WebDAVのサービス拒否」の2つの脆弱性については、IIS Lockdown Wizardツールを利用し、不要なサービスを停止させることでも回避できます。IIS Lockdown Wizardツールは、IIS 4.0またはIIS 5.0において不要なサービスを停止することで、セキュリティを高めることを目的に開発されたツールです。一般的なWebサーバでは利用しないWebDAV機能などを、ウィザード形式により簡単にかつ安全に停止させることができます。

・IIS Lockdown Wizardツールのページ
http://www.microsoft.com/japan/technet/security/tools/tools/locktool.asp