Outlook Expressのメール・ヘッダの検証処理に存在する脆弱性により、Outlook Expressが異常終了する危険がある。すでにこの脆弱性は公開されており、実証コードも提供されている。不正なプログラムが実行されるわけではないため、危険性はそれほど高くない。ただ悪質な嫌がらせメールなどに悪用される危険があるので、Outlook Expressをメール・クライアントとして利用している場合は、修正プログラムの適用を検討すべきだ。Outlook Expressを利用していない人は、この脆弱性の影響はない。

　不正なメール・ヘッダを持つ電子メールを受信すると、Outlook Expressが異常終了する。これは、Outlook Expressのヘッダの検証処理が不十分なことに起因する。この脆弱性を悪用しても、プログラムを実行させることはできないため、ウイルスの感染に悪用される危険は少ない。ただし感染したウイルスが2次攻撃として、この脆弱性を悪用した電子メールを大量に発信する可能性がある。現在のところ、この脆弱性を悪用する攻撃は確認されていないが、比較的容易に攻撃可能な脆弱性なので注意が必要だ。

■適用テストの結果
　DA Labでは、以下のプラットフォームで修正プログラムの適用テストを行った。

■IEをバージョンアップしていないWindows 2000 SP3とWindows 2000 SP4の環境も修正プログラムの対象
　Windows 2000 SP3／SP4には、Outlook Express 5.5 SP2が含まれている。通常、Internet Explorer（IE）とOutlook Expressは、セットで配布されているため、同じバージョンであることが多い。しかし、Windows 2000 SP3にはIE 5.01 SP3とOutlook Express 5.5 SP2が、Windows 2000 SP4にはIE 5.01 SP4とOutlook Express 5.5 SP2がそれぞれ含まれる。そのため、IEをバージョンアップしていないこれらの環境はMS04-018の修正プログラムの対象となる。IEのバージョンアップをしないままWindows 2000 SP3／SP4の環境を利用している場合は、Outlook Express 5.5 SP2用の修正プログラムを適用すること。

　なお、IE 5.5 SP2にもOutlook Express 5.5 SP2が含まれるが、Windows 2000とWindows NT 4.0の場合、IE 5.5 SP2はMS04-018の修正プログラムの対象外とされている。

［お詫びと訂正］（2004/11/11）
HotFix Alert配信時、「IEをバージョンアップしていないこれらの環境はMS04-018の脆弱性の対象となる。」としていましたが、MS04-018の脆弱性自体はOutlook Express 6のみが対象であるため、Outlook Express 5.5 SP2には影響しません。ただしくは、「IEをバージョンアップしていないこれらの環境はMS04-018の修正プログラムの対象となる。」です。お詫びして訂正させていただきます。

■Windows NT Workstation 4.0 SP6aとWindows 2000 SP2のサポートについて
　Windows NT Workstation 4.0 SP6aとWindows 2000 SP2は、ライフサイクル・ポリシーにより、2004年6月30日でサポートが終了している。マイクロソフトは、MS04-018の修正プログラムに関しては開発作業が6月30日時点でほぼ終了していたため、提供を行ったとしている。今後は、Windows NT Workstation 4.0 SP6aとWindows 2000 SP2に対する修正プログラムの提供が行われない可能性が高い。OSのバージョンアップまたはサービスパックの適用を行った方がよい。ちなみにWindows NT Server 4.0のサポートは、2004年12月31日に終了する。

■Windows 98／98SE／Me向け修正プログラムについて
　「よく寄せられる質問」によれば、Windows 98／98SE／MeではMS04-018の脆弱性が存在するものの、最大深刻度が「緊急」ではないため修正プログラムは提供されないとしている。しかしWindows Updateに接続すると、Windows 98／98SEではOutlook Express 6 SP1用が、Windows MeではOutlook Express 5.5 SP2用とOutlook Express 6 SP1用が表示される。ダウンロード・センターのOutlook Express 5.5 SP2用の修正プログラムのページにおいても、システム用件としてWindows Meが記載されている（Outlook Express 6 SP1用にはWindows 98／98SE／Meが記載されていない）。正式にサポートされていないものの、修正プログラムの適用自体は可能であると思われる。

■MBSA 1.2の結果
　MBSA 1.2は、現在のところOutlook Express関連の修正プログラムをスキャンしない。そのため、MS04-018の修正プログラムが正しく適用されているかどうかは確認できない。

　メール・ヘッダには、送信者や受信者の電子メール・アドレス、送信された日時、メッセージを受信したメール・サーバ名などが記述されている。このメール・ヘッダ部分に細工を施すと、Outlook Expressが正しく処理できず、異常終了してしまう。

　Outlook Expressの初期設定では、電子メールを受信すると、ヘッダなどを解釈し、プレビュー・ウィンドウにメッセージを表示する。そのため、プレビュー・ウィンドウが有効となっている場合、不正な電子メールを受信してプレビューしただけで異常終了してしまい、以降Outlook Expressが起動できなくなってしまう危険がある。このような状態に陥った場合は、手動でメッセージを削除し、Outlook Expressを再起動する必要がある。

　メッセージを手動で削除するためには、プレビュー・ウィンドウを無効化してからOutlook Expressを起動し、該当するメッセージを削除する。起動不能に陥った場合のプレビュー・ウィンドウの無効化は、レジストリ・エディタで以下のレジストリ・キーの「ShowHybridView」を「0（DWORD値）」に変更することで行える。

　修正プログラムが正しく適用できたかどうかは、Windows Server 2003以外のWindowsでは、Internet Explorerの［ヘルプ］−［バージョン情報］メニューを選択し、［更新バージョン］フィールドに「Q823353」が表示されていることで確認できる。また、以下のレジストリ・キーにある値を調べることでも確認可能である。

Windows Server 2003以外のWindows：
HKEY_LOCAL_MACHINE\Software\Microsoft\Active Setup\Installed Components\{ F5173CF0-1DFB-4978-8E50-A90169EE7CA9} のInstaled値のデータが「1」

Windows Server 2003：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Hotfix\KB823353のInstaled値のデータが「1」

　何らかの理由から、直ちに修正プログラムを適用できない場合には、以下に示す方法で問題を回避できる。ただしこの回避策は、脆弱性を根本的に解決するものではない。

■Outlook Expressのプレビュー・ウィンドウを無効にする
　Outlook Expressの表示レイアウトを変更し、プレビュー・ウィンドウを無効化することで、不正な電子メールを受信した際に異常終了するのを防ぐことが可能だ。プレビュー・ウィンドウを無効化するには、以下の操作を行う。

1. Outlook Expressで受信トレイなどメールのフォルダを選択してから、［表示］−［レイアウト］メニューを選択する。
2. ［プレビュー ウィンドウを表示する］のチェックを外し、次に［OK］ボタンをクリックする。

　これで、Outlook Expressでメールのプレビュー・ウィンドウが表示されなくなる。受信した電子メールを読むには、メッセージを選択して、ダブルクリックする。別ウィンドウで、電子メールのメッセージが表示される。ただし不正なメール・ヘッダを持つメッセージを開くと、Outlook Expressが異常終了するので注意が必要だ。怪しいメッセージは、開かずに削除すること。

Outlook Express 5.5 SP2：
［展開ビュー］−［IE］タブに「名前：IE5.5sp2-KB823353-x86-JPN.exe」で登録

Outlook Express 6：
［展開ビュー］−［IE］タブに「名前：IE6.0-KB823353-WindowsXP-x86-JPN.exe」で登録

Outlook Express 6 SP1：
［展開ビュー］−［OS］タブに「名前：IE6.0sp1-KB823353-x86-JPN.exe」で登録