不適切な MIME ヘッダーが原因で Internet Explorer が電子メールの添付ファイルを実行する (MS01-020)

技術的な説明 :
HTML 形式の電子メールは単に Web ページであるため、Internet Explorer はそれらを再現し、そしてバイナリの添付ファイルをその MIME 形式に適切な方法で開くことができます。しかし、特定の MIME 形式の処理に問題があります。攻撃者が実行可能な添付ファイルを含む HTML 形式の電子メールを作成し、その添付ファイルが Internet Explorer が正しく処理しない MIME 形式であると指定されるように MIME ヘッダー情報を変更した場合、Internet Explorer がその電子メールを再現する際に、添付ファイルを自動的に起動してしまいます。

攻撃者はこのシナリオを次の 2 通りの方法で利用することができます。まず、Web サイトで該当する HTML 形式の電子メールをホストし、別のユーザーにその Web サイトを訪問するように誘導します。この時点で Web ページのスクリプトが電子メールを開き、実行可能ファイルを起動します。または攻撃者が標的となるユーザーに直接 HTML 形式の電子メールを送信します。いずれの場合でも、実行可能な添付ファイルが実行された場合、これらの添付ファイルはシステムでのユーザーのアクセス権のみに制限されます。

問題を緩和する要素 :

脆弱性識別番号 :
CAN-2001-0154

テストしたバージョン :
マイクロソフトは Internet Explorer 5.01 および 5.5 のテストを行い、この脆弱性による影響を評価しました。それより前のバージョンに関してはサポートしておらず、この脆弱性による影響は不明です。

どのようなことが起こる可能性がありますか?

この脆弱性を使用すると攻撃者は、他のユーザーのマシン上で、攻撃者が選択したプログラムを実行することができます。このようなプログラムで、データの追加、変更、削除、Web サイトとの通信、ハード ドライブの再フォーマットなど、ユーザーが自分のマシン上で実行できる全ての操作を実行できます。

攻撃者がこの脆弱性を利用して、ユーザーの攻撃に成功するには、ユーザーに攻撃者が管理する Web サイトをブラウズするように誘導するか、攻撃者が送付した HTML 形式の電子メールを開くように誘導できる必要があります。

何が原因で起こりますか?

HTML メールが実行可能な添付ファイルを含み、その MIME タイプが不正に、一般的でないタイプに指定されている場合、Internet Explorer の問題により、警告メッセージの表示なしで添付ファイルが実行されてしまいます。

なぜ HTML メールを処理するのに Internet Explorer が使用されるのですか? メールを表示するのは Outlook や Outlook Express のようなメール プログラムだと思っていました。

通常、メールを表示するのはOutlook や Outlook Express のようなメール プログラムです。メール クライアントが電子メールの作成、送信、受信、表示を実行します。しかし、例外もあります。メールが HTML メールの場合、“レンダリング” と呼ばれる処理の実行は Internet Explorer に依存しています。レンダリングというのは Web ページを処理し、表示する処理のことです。HTML メールは本質的にメールとして送信された Web ページであるため、Internet Explorer によってレンダリングされます。この問題は、Internet Explorer が HTML メールをレンダリングする方法に関係があります。

Internet Explorer が HTML メールをレンダリングする方法の何が問題になっていますか?

メールに添付ファイルが含まれる場合、Internet Explorer は、メッセージをレンダリングする際に添付ファイルを開く機能を提供する必要があります。"開く" ことの厳密な動作の意味は、ファイルのタイプによって異なります。たとえば、添付ファイルがテキストファイルの場合、読む機能を、ビデオ クリップの場合、再生する機能を、グラフィック ファイルの場合、表示する機能をそれぞれ Internet Explorer が提供する必要があります。

添付ファイルの中には、例えば実行可能ファイルなどのように、元々危険なものがあります。このような場合、Internet Explorer は、ユーザーが明示的に開く要求をし、開くことを確認した場合にのみ添付ファイルを開く必要があります。しかし、この問題により、不正な MIME タイプがその電子メールに指定されることで、この防御機能が回避されてしまいます。

MIME タイプとは何ですか?

まず MIME とは何であるかを説明しましょう。MIME とは、Multipurpose Internet Mail Extensions の略です。MIME は、バイナリ ファイルを電子メール添付ファイルとしてエンコードするための、広く使用されているインターネットの標準です。電子メールにバイナリの添付ファイルが含まれている場合、電子メールはメール プログラムが正しく解釈できるように添付ファイルのタイプを指定しなければなりません。

この脆弱性の場合、Internet Explorer は、ある一般的ではない MIME タイプを適切に処理しません。攻撃者が、実行可能な添付ファイルを含む電子メールメッセージを作成し、それをこの MIME タイプに指定した場合、Internet Explorer は、ユーザーの確認無しに添付ファイルを実行してしまいます。

Internet Explorer は常に添付ファイルを実行しますか?

いいえ、しません。 ファイルのダウンロードが、電子メールを開いたセキュリティ ゾーンで有効にされている場合にのみ、Internet Explorer は添付ファイルを実行します。しかし、ファイルのダウンロードは既定で全てのゾーンで有効になっています。

この脆弱性によって攻撃者は何ができますか?

攻撃者がこの脆弱性を利用した電子メールを作成した場合、他のユーザーのコンピュータ上で実行可能な添付ファイルを実行するのに使用する可能性があります。攻撃者が使用する可能性のあるシナリオは、次の 2 つです。1 つめは、攻撃者は、自分の Web サイトに、HTML メールをホストし、ユーザーが訪問するように誘導します。2 つめは、ユーザーに直接電子メールを送信します。

添付ファイルが実行された場合、何が実行されますか?

添付ファイルは、ユーザーがシステム上で実行できる全ての操作が実行できます。ユーザーのアクセス権が制限されている場合は、添付ファイルでも多くのことは実行できません。しかしユーザーがシステムの管理者の場合、添付ファイルでハード ドライブの再フォーマットなど、実質上全ての動作が実行できてしまいます。

この脆弱性を利用する電子メールが、偶然作成されることはありますか?

いいえ、ありません。このような電子メールを作成するには、攻撃者は実行可能な添付ファイルを含む電子メールを作成し、意図的にそのメールの MIME ヘッダを、影響を受けるタイプに変更する必要があります。

この更新プログラムは何をしますか?

この更新プログラムは MIME タイプのテーブルと Internet Explorer に関連付けられたアクションを修正して、この脆弱性を排除します。これにより、電子メールが実行可能な添付ファイルを自動的に開始することができなくなります。

Internet Explorer 5.01 Service Pack 2 をインストールする場合、更新プログラムをインストールする必要がありますか?

いいえ、必要ありません。この問題を解決する更新プログラムは Internet Explorer 5.01 Service Pack 2 に含まれる予定です。Internet Explorer 5.01 Service Pack 2 をインストールする場合、更新プログラムを更にインストールする必要はありません。

この脆弱性は Internet Explorer 6 に影響を及ぼしますか?

いいえ。Internet Explorer 6 にアップグレードすることにより、この脆弱性を排除することができます。しかし、Windows 98、98SE、ME または NT4.0 を実行している場合、Internet Explorer 6 を特定の方法でインストールする必要があります。具体的には、完全 インストールまたは標準インストール オプションのいずれかを選択する必要があります。(既定のインストールの種類は標準インストールです。) 最小限のインストールまたはカスタム インストールを選択した場合、この脆弱性を含むファイルがアップグレードされないことがあり、システムは脆弱性の影響を依然として受ける可能性があります。

Windows 2000 または Windows XP を実行しているお客様はこの心配はありません。Internet Explorer 6 は、これらのシステムにインストールする時に最小限のインストールやカスタム インストールのオプションを提供しません。これらのシステムでの Internet Explorer 6 へのアップグレードはこの脆弱性を十分に排除します。詳しい情報はサポート技術情報 308411 (英語情報) をご覧下さい。

この更新プログラムを適用した後でも、電子メールがファイル ダウンロードを自動的に始めてしまうということを聞きました。これは本当ですか?

はい、本当です。しかし、このことはこの脆弱性には関連性がなく、これによるセキュリティ上の危険性はありません。電子メールは常にファイル ダウンロードを開始することができ、またもちろんメールの作成者は、そのファイルに、知らない人からは害のないように見える名前をつけることができます。しかしユーザーがダウンロード先を指定し、[OK] ボタンをクリックしない限り、ファイルのダウンロードが開始されることはありません。

原則として、自動的にファイル ダウンロードをする電子メールは、全て信頼できるものか確認する必要があります。ダイアログで [キャンセル] ボタンをクリックすることが最善の策です。

この問題に対する日本語版更新プログラムは、以下のサイトからダウンロードできます。

注 :
Windows 2000 Service Pack 2(SP2) が適用されている場合は、Internet Explorer のバージョンは Internet Explorer 5.01 SP2 に変更されています。 Windows 2000 SP2 の適用前に Internet Explorer 5.5 以降をインストールされたお客様は、別途 Internet Explorer 5.5 Service Pack 2 以降のインストールが必要になります。

対象プラットフォーム :
この更新プログラムは Internet Explorer 5.01 Service Pack 1 または Internet Explorer 5.5 Service Pack 1 を動作しているシステムにインストールすることができます。

今後リリースされるサービス パックに含まれる更新プログラム :
この問題に対する更新プログラムは Internet Explorer 5.01 Service Pack 2 に含まれています。また、Internet Explorer 5.5 Service Pack 2 に含まれています。

更新プログラムのインストール確認方法 :

•	この更新プログラムがマシンにインストールされたことを確認するためには、Internet Explorer を起動し、ヘルプを選択して下さい。そしてバージョン情報で Q290108 がアップデート バージョンのフィールドに記載されていることを確認して下さい。
•	各ファイルを確認するためには、サポート技術情報 290108 の更新プログラム欄を確認して下さい。

警告 :

•	更新プログラムが適用されるべき Internet Explorer のバージョン以外を動作するシステムにインストールされた場合、更新プログラムが必要でないことを示すエラー メッセージが表示されます。このメッセージは正しくありません。このメッセージが表示されたお客様はサポートされているバージョンの Internet Explorer にアップグレードし、この更新プログラムを再インストールして下さい。
•	Windows 98、98SE、ME または NT4.0 をご使用のお客様が該当のバージョンから Internet Explorer 6 へアップグレードすることによってこの脆弱性を排除することを選択する場合、よく寄せられる質問で説明しているようにフル インストールまたは、標準インストールのどちらかを実行するように注意してください。

他のセキュリティ更新プログラムの入手先 :
他のセキュリティ問題を解決する更新プログラムは以下のサイトから入手できます。

•	セキュリティ更新プログラムはマイクロソフト ダウンロード センターからダウンロードすることができます。「security_patch」のキーワード検索によって容易に見つけることができます。
•	コンシューマ プラットフォーム用の更新プログラムは、Microsoft Update Web サイトからダウンロードできます。

更新プログラムについてのご質問は、マイクロソフト プロダクト サポート までご連絡ください。マイクロソフトでは、ご質問の内容が弊社製品の不具合が原因の場合、サポート料金はいただきません。それ以外の場合には、サポート料金を請求させていただきますのでご注意ください。
マイクロソフト プロダクト サポートへの連絡方法はこちらをご覧ください。

Top of section