Internet Explorer 用の累積的なセキュリティ更新プログラム (832894) (MS04-004)
概要 :
このセキュリティ情報の対象となるユーザー : Microsoft® Internet Explorer® を使用しているお客様
脆弱性の影響 : リモートでコードが実行される
最大深刻度 : 緊急
推奨する対応策 : システム管理者は、このセキュリティ更新プログラムを直ちに適用して下さい
含まれる過去の更新プログラム : この更新プログラムは、マイクロソフト セキュリティ情報 MS03-048 で提供された累積的な更新プログラムを含みます。
警告 : この累積的な更新プログラムをインストールすると、Internet Explorer 6.0 Service Pack 1 のユーザーは、SSL で保護された Web サイトへアクセスした際にエラーが発生することがあります。このエラーは HTTP 500 (Internal Server Error) と表示され、特定の構成の SSL/TLS 3.0 を使用している Web サーバーにアクセスしている場合にのみ発生します。この問題に対する更新プログラムは、Microsoft Update の重要な更新として公開されています。より詳細な情報は、サポート技術情報 831167 をご覧下さい。なお、この問題の修正は、今後リリースされる Internet Explorer 6.0 Service Pack 1 の累積的な更新プログラムに含まれる予定です。また、この累積的な更新プログラムをインストールすると、Internet Explorer の保護されたストアに保存されているユーザー名およびパスワードが無効となります。このため、認証を必要とする Web サイトを最初に訪問する時、ユーザーは各自のユーザー名およびパスワードを再入力してください。
テストしたソフトウェアおよび更新プログラムのダウンロード先
影響を受けるソフトウェア :
| • | Microsoft Windows NT® Workstation 4.0 Service Pack 6a |
| • | Microsoft Windows NT Server 4.0 Service Pack 6a |
| • | Microsoft Windows NT Server 4.0 Terminal Server Edition, Service Pack 6 |
| • | Microsoft Windows 2000 Service Pack 2, Service Pack 3, Service Pack 4 |
| • | Microsoft Windows XP, Microsoft Windows XP Service Pack 1 |
| • | Microsoft Windows XP 64-Bit Edition, Microsoft Windows XP 64-Bit Edition Service Pack 1 |
| • | Microsoft Windows XP 64-Bit Edition Version 2003 |
| • | Microsoft Windows Server® 2003 |
| • | Microsoft Windows Server 2003, 64-Bit Edition |
テストした Microsoft Windows および Officeコンポーネント :
影響を受けるコンポーネント :
この問題に対する修正は、MS04-025 以降の累積的な更新プログラムに含まれました。最新の累積的な更新プログラムは、Microsoft Update または、こちらの Web サイトから入手できます。
この問題に対する日本語版更新プログラムは、次のサイトからダウンロードできます。
| PC/AT およびPC-9800 | |||
|
| ||
|
| ||
|
| ||
|
| ||
|
| ||
|
| ||
|
| ||
|
| ||
|
|
注 : この更新プログラムをインストールすると、既定で “username:password@server” 形式の URL をサポートしなくなります。詳しくはこちらをご参照ください。
このマークをクリックして、更新プログラムをダウンロードしてください。
更新プログラムをダウンロードおよびインストールする方法は、更新プログラムのダウンロード方法および更新プログラムのインストール方法をご覧ください。
このマークの付いている更新プログラムは Microsoft Update からインストールすることもできます。
Microsoft Update の利用方法については以下のサイトを参照してください。
| • | Microsoft Update 利用の手順 |
上記のソフトウェアのテストを行い、この脆弱性による影響を評価しました。それ以前のバージョンに関してはサポートの対象となっていないため、この脆弱性による影響は不明です。
ご使用中の製品およびバージョンのサポート ライフ サイクルを確認するためには、マイクロソフト サポート ライフサイクル の Web サイトをご覧下さい。
詳細
技術的な詳細 |
回避策 |
よく寄せられる質問 |
特定の SSL で保護された Web サイトへのアクセスを試行すると、エラーが発生するのはなぜですか?
この累積的な更新プログラムの Internet Explorer 6.0 SP1 バージョンをインストールした後、SSL で保護された Web サイトへの POST リクエストに断続的なエラーが発生する場合があります。これにより、ユーザーが特定の Web サイトへのアクセスを試行すると、HTTP 500 (Internal server error) が発生する場合があります。マイクロソフトはこの問題を認識しており、更新プログラムを Microsoft Update から入手することが可能となりました。この更新プログラムの詳細や、単体でインストール可能な更新プログラム入手に関する情報は、サポート技術情報 831167 をご覧下さい。この更新プログラムは Internet Explorer の今後の累積的なセキュリティ更新プログラムに含まれる予定です。
この累積的なセキュリティ更新プログラム (MS04-004) で解決される脆弱性に対する保護を行うために、サポート技術情報831167の更新プログラムをインストールする必要がありますか?
いいえ。上記で説明されているエラーが発生しない場合、サポート技術情報 831167 で説明されている更新プログラムは必要ありません。マイクロソフトは、この特定の問題の影響を受けるお客様にのみ、サポート技術情報 831167 の更新プログラムをインストールすることを推奨しておりましたが、本問題が比較的広範囲のお客様に影響を与えていることから、Microsoft Update においても提供を開始しました。Internet Explorer 6.01 Service Pack 1 の今後の累積的なセキュリティ更新プログラムには、この修正が含まれる予定です。
これらのエラーを排除する手助けとなるサーバー側の回避策はありますか?
はい、あります。サポート技術情報 831167 の解決方法の欄で説明されている更新を適用できない場合、次のサーバー側の操作のうち、1 つを行うことにより、問題が回避される場合があります。
| • | Web サーバーまたはプロキシ サーバーで HTTP キープアライブ タイムアウトの間隔を長くします。IIS には Windows レジストリ KeepAliveTime 値のほかにキープアライブ タイムアウトを制御する設定はありませんが、接続有効時間を指定することができる Web サーバーやプロキシ サーバーもあります。Web サーバーまたはプロキシ サーバーにより、この値を変更できる場合、キープアライブ タイムアウトの間隔を延ばし、問題を回避して下さい。適切な設定名および値については、ご使用の Web サーバーのドキュメンテーションをご覧下さい。KeepAliveInterval および KeepAliveTime パラメータに関する追加情報は、次のマイクロソフト サポート技術情報をご覧下さい。 314053 Windows XP での TCP/IP と NBT の構成パラメータ 120642 Windows NT および Windows 2000 での TCP/IP および NBT の設定 |
| • | サーバーで HTTP「キープ アライブ接続」を無効にします。追加情報は、次のマイクロソフト サポート技術情報をご覧下さい。 238210 ASP バッファが有効になるたびに HTTP Keep-Alive ヘッダーが送信される |
以前 Internet Explorer にパスワードを保存させた Web サイトで、なぜユーザー名およびパスワードを再入力するようメッセージが表示されるのですか?
この累積的な更新プログラムは Internet Explorer が以前コンピュータに保存した認証情報を無効にします。これは、この累積的な更新プログラムに含まれる認証の情報の変更によるものです。従いまして、ユーザーは以前 Internet Explore で情報を保存するように選択した Web サイトでユーザー名およびパスワードを再入力するよう指示されます。ユーザー名およびパスワードを入力し、[パスワードを保存する] チェックボックスにチェックを入れた後、この情報はローカルで保存され、通常通り利用することができます。Internet Explorer のユーザー名およびパスワードを保存する方法についての詳細情報は、MSDN (英語情報) をご覧下さい。
なぜ、Internet Explorer 5.5 SP2 の更新プログラムは Windows 2000 Service Pack 2、Service Pack 3 および Service Pack 4、ならびに Windows 98、 Windows 98 Second Edition および Windows NT 4.0 Service Pack 6a 用に利用可能なのですか?
Internet Explorer 5.5 SP2 は現在 Windows Millennium Edition (Windows Me) 上でのみサポートされています。しかしながら、このセキュリティ情報で説明されている脆弱性は 2003 年 12 月 31 日 (米国時間) より前に報告されたものであるため、このバージョンの更新プログラムは上記に挙げられているプラットフォーム上でも利用可能です。Internet Explorer 5.5 SP2 のサポートに関する詳細はマイクロソフト ライフサイクルのページをご覧ください。
なぜ、このセキュリティ更新プログラムはWindows 98、Windows 98 Second Edition、および Windows Millennium Edition (Windows Me) 用に利用可能なのですか?
これらのプラットフォームのセキュリティ更新プログラムは通常、有償窓口にてリクエストされた場合のみご利用いただくことができます。しかしながら、このセキュリティ情報で説明されている問題は、このアナウンスより前に報告されていたため、Internet Explorer 6 Service Pack 1 用の更新プログラムは、これらのオペレーティング システム上でも利用可能です。これらのプラットフォームのサポート オプションに関する詳細は、このアナウンスのページおよびマイクロソフト ライフサイクルのページをご覧ください。
この累積的な更新プログラムにより、どのような脆弱性が排除されますか?
これは、Internet Explorer 用に以前リリースされたすべての更新プログラムの機能を含む累積的な更新プログラムです。さらに、この累積的な更新プログラムは、次の新たに報告された脆弱性を排除します。
| • | 攻撃者がユーザーのコンピュータで任意のコードを実行する可能性のある脆弱性 |
| • | 攻撃者がユーザーのコンピュータで任意のコードを保存する可能性のある脆弱性 |
| • | 攻撃者が Internet Explorer ウィンドウのアドレスバーで、間違った Web ページの場所を表示させる可能性のある脆弱性 |
主にどのコンピュータがこれらの脆弱性による危険にさらされますか?
Internet Explorer がインストールされているすべてのコンピュータがこの脆弱性による危険にさらされます。マイクロソフトは、この累積的な更新プログラムを、すべてのコンピュータに直ちにインストールすることを推奨します。しかし、この脆弱性が悪用され、悪質な操作が行われるには、ユーザーがログオンし、Internet Explorer を使用することが、攻撃者にとっての必要条件となります。したがって、Internet Explorer が積極的に使用されているコンピュータ (例 : ユーザーのワークステーション) が、最もこの脆弱性による危険にさらされます。Internet Explorer が積極的に使用されていないコンピュータ (例 : ほとんどのサーバー コンピュータ) が危険にさらされる可能性は低くなります。
この累積的な更新プログラムは Internet Explorer の機能に対する変更を含んでいますか?
はい。この Internet Explorer 用の累積的な更新プログラムは Internet Explorer のクリア テキスト認証の機能に対する変更も含んでいます。この累積的な更新プログラムは Microsoft Internet Explorer で、HTTP または HTTPS URL でのユーザー名およびパスワードの処理のサポートを削除します。この更新プログラムのインストール後、次の URL の構文は Internet Explorer または Windows Explorer でサポートされなくなります。
http(s)://username:password@server/resource.ext
この変更に関する詳細情報は、マイクロソフト サポート技術情報 834489 をご覧下さい。
さらに、この累積的な更新プログラムは XMLHTTP について、“username:password@host.com” への接続を無効にします。マイクロソフトは現在、この問題 (具体的には XMLHTTP) を解決する MSXML に対する更新プログラムを開発中です。詳細情報は、サポート技術情報 832414 をご覧下さい。
この累積的な更新プログラムはそのほかのセキュリティ上の変更を含みますか?
この累積的な更新プログラムは Internet Explorer 6 Service Pack 1 で行われた変更を改良します。これにより、インターネット セキュリティ ゾーン内の Web ページがローカル コンピュータ ゾーンに接続されることを防ぎます。この変更は、新しいクロス ドメインの脆弱性の可能性の影響を緩和するために導入されました。この累積的な更新プログラムに導入された変更は、Internet Explorer 6 Service Pack 1 の制限のさらに強化された点です。
Windows Server 2003 で Internet Explorer を実行していますが、この環境ではこれらの脆弱性は緩和されますか?
はい。既定で Windows Server 2003 の Internet Explorer は「セキュリティ強化の構成」と呼ばれる制限されたモードで実行されます。この構成は、「Travel Logのクロス ドメインの脆弱性」CAN-2003-1026 と「ドラッグ アンド ドロップ操作の脆弱性」CAN-2003-1027 の両方を緩和します。Windows Server 2003 のセキュリティ強化の構成は、「不適切な URL の正規化の脆弱性」CAN-2003-1025 は緩和しません。
Internet Explorer のセキュリティ強化の構成とは何ですか?
Internet Explorer のセキュリティ強化の構成は、ユーザーまたは管理者が悪質な Web コンテンツをサーバーにダウンロードし、実行する危険性を低減する Internet Explorer のあらかじめ構成された設定の集合体です。Internet Explorer のセキュリティ強化の構成は、インターネットオプションの [セキュリティ] タブの設定、[詳細設定] タブなどの多くのセキュリティ設定を変更することにより、このような危険性を低減します。重要な変更に、以下のようなものがあります。
| • | インターネットゾーンのセキュリティレベルを [高] に設定。この設定により、スクリプト、ActiveX コントロール、Microsoft 仮想マシン （Microsoft VM)、HTML コンテンツおよびファイル ダウンロードが無効にされます。 |
| • | イントラネットサイトの自動検出を無効に設定。この設定では、すべてのイントラネットの Web サイトおよびローカル イントラネット ゾーンに明示的に一覧されていない汎用名前付け規則 (UNC) のすべてのパスがインターネット ゾーンに割り当てられます。 |
| • | オンデマンドのインストールおよびマイクロソフト以外のブラウザ拡張を無効に設定。この設定は、Web ページが自動的にコンポーネントをインストールするのを防ぎ、マイクロソフト以外の拡張が実行されないようにします。 |
| • | マルチメディアコンテンツを無効に設定。この設定により、音楽、アニメーション、ビデオクリップが実行されなくなります。 |
Internet Explorer のセキュリティ強化の構成が無効にされている場合、これらの脆弱性の悪用を防ぐ防御策が削除されます。Internet Explorer のセキュリティ強化の構成に関する詳細は、以下のサイトの Internet Explorer のセキュリティ強化の構成の管理ガイドをご覧ください。
http://www.microsoft.com/japan/windowsserver2003/developers/iesecconfig.mspx
Windows Server 2003 で、その他に Internet Explorer のセキュリティ強化の構成が無効にされる構成はありますか?
はい、あります。Windows Server 2003 をターミナルサーバーとして展開しているシステム管理者が、ターミナルサーバーのユーザーが制限されていないモードで Internet Explorer を使用できるようにセキュリティ強化の構成を無効に設定している可能性があります。
CAN-2003-1026 : Travel Log のクロス ドメインの脆弱性により、リモートでコードが実行される
どのようなことが起こる可能性がありますか?
この脆弱性により、悪質な Web サイト オペレータが、Travel Log から、特別にフォーマットされたスクリプト URL を解析する時、特別に作成されたコードを挿入することにより、別のインターネットまたはイントラネット ドメイン、ユーザーのコンピュータの情報にアクセスする可能性があります。これにより、攻撃者がユーザーのコンピュータで任意の実行可能ファイルを実行する可能性があります。
何が原因で起こりますか?
Internet Explorer の Travel Log で、スクリプト URL を検証するために使用されるプロセスが原因となって、この脆弱性が起こります。
Internet Explorer の Travel Log とは何ですか?
Internet Explorer の Travel Log とは、Web ブラウザの制御について、ナビゲーション スタックを保持するインターフェースです。このスタックは、最近訪問された Web サイトの一覧を保持するために、Internet Explorer により使用されます。たとえば、Internet Explorer の [履歴] タブは、Travel Log からの情報に基づき成り立っています。Travel Log は、アドレス バーに表示するために、URL を検索する時にも使用されます。Travel Log インターフェースおよびそれがどのように Web ブラウザ制御に使用されているかは、詳細情報 MSDN (英語情報) をご覧下さい。
Internet Explorer が実装するクロスドメインセキュリティモデルとは何ですか?
ブラウザの主要なセキュリティ機能の 1 つは、同じ Web サイトからのウィンドウが互いに対話できるようにする一方、異なる Web サイトの管理によるブラウザウィンドウが互いに干渉しない、または互いのデータにアクセスしないようにすることです。協力するブラウザウィンドウと協力しないブラウザ ウィンドウを区別するために、「ドメイン」という概念が作られました。ドメインとはセキュリティの境界です。同じドメイン内で開かれているウィンドウは互いに対話することができますが、別のドメインからのウィンドウは互いに対話できません。クロスドメインセキュリティモデルとは別のドメインからのウィンドウが互いに干渉しないようにするセキュリティ アーキテクチャの一部です。
ドメインの最も簡単な例は Web サイトに関連しています。たとえば、ユーザーが http://www.microsoft.com を訪問し、http://www.microsoft.com/security へのウィンドウを開くとします。両方の Web サイトは同じドメインである http://www.microsoft.com に属しているため、互いに対話することができます。しかし、ユーザーが http://www.microsoft.com を訪問し、別の Web サイトへのウィンドウを開く場合、クロスドメインセキュリティ モデルにより、2 つのウィンドウは互いに保護されます。この概念はさらに進みます。たとえば、ユーザーのローカルコンピュータのファイルシステムもまたドメインです。このため、たとえば http://www.microsoft.com がウィンドウを開き、ユーザーにそのユーザーのハードドライブのファイルを表示することもできます。しかし、ユーザーのローカル ファイル システムはその Web サイトとは別のドメインに存在するため、クロスドメインセキュリティモデルは、その Web サイトが表示されているファイルを読み取らないようにする必要があります。
Internet Explorer のクロスドメインセキュリティ モデルは Internet Explorer のセキュリティ ゾーンの設定を使用して、構成することができます。
Internet Explorer のセキュリティゾーンとは何ですか?
Internet Explorer のセキュリティゾーンとは、オンライン コンテンツをカテゴリ、またはその信頼度に基づいたゾーンに分類するシステムです。特定の Web ドメインは、各ドメインのコンテンツがどの程度信頼されているかにより、ゾーンに割り当てられます。そしてゾーンは Web コンテンツの権限をそのゾーンのポリシーに基づき制限します。既定で、ほとんどのインターネットドメインは、スクリプトやそのほかのアクティブなコードがローカル コンピュータのリソースにアクセスすることを防ぐ既定のポリシーを持つ、インターネット ゾーンの一部として取り扱われます。
Internet Explorer がクロスドメインセキュリティを計算する方法の何が問題になっていますか?
Internet Explorer は、ある Web ページが別のセキュリティ ゾーンのリソースへのアクセスをリクエストする時にセキュリティを評価します。しかし、特別にフォーマットされたスクリプト URL が Travel Log から解析される場合のセキュリティの計算に使用されるプロセスに脆弱性が存在するため、攻撃者はセキュリティ チェックを無視することができます。
この脆弱性により、攻撃者は何ができる可能性がありますか?
攻撃者はこれらの脆弱性を悪用し、Web ページを作成し、ドメインの境界を越えてデータにアクセスする可能性があります。攻撃者により行なわれる可能性のある操作には、そのほかの Web サイトからの情報やコンピュータのローカル ファイルの情報へのアクセス、ローカル ファイル システムに既に存在する実行可能ファイルの実行などがあります。ユーザーのローカルファイル システムで攻撃者の任意の実行可能ファイルが実行される可能性もあります。
攻撃者はどのようにしてこの脆弱性を悪用する可能性がありますか?
悪質な Web ページまたは HTML 形式の電子メール メッセージを作成し、ユーザーにその Web ページを訪問する、または HTML 形式の電子メール メッセージを表示するよう誘導することにより、この脆弱性を悪用する可能性があります。ユーザーが Web ページを訪問、または電子メール メッセージを表示すると、攻撃者はマイ コンピュータ ゾーンのセキュリティ コンテキストでスクリプトを実行する可能性があります。
この累積的な更新プログラムは何を修正しますか?
この累積的な更新プログラムは、スクリプト URL が Travel Log から解析される時に、正しいクロス ドメイン セキュリティ チェックが行われるようにして、この脆弱性を解決します。
CAN-2003-1027 : 関数ポインタのドラッグ アンド ドロップ操作の脆弱性により、任意のコードがユーザーのコンピュータに保存される
どのようなことが起こる可能性がありますか?
この脆弱性は、関数ポインタで Internet Explorer のドラッグ アンド ドロップ イベントを使用することに関連します。この脆弱性により、ユーザーがリンクをクリックすると、ユーザーのコンピュータでファイルが保存される可能性があります。ユーザーにダウンロードを承認するよう要求するダイアログボックスは表示されません。この脆弱性が悪用されるには、この特定の脆弱性の悪用のためにデザインされたリンクを含む悪質な Web サイトをホストする、またはそのようなリンクを含む HTML 形式の電子メールを作成し、ユーザーにその Web サイトを訪問するよう誘導することが攻撃者にとっての必要条件となります。ユーザーがその Web ページを訪問、または電子メール メッセージを表示し、悪質なリンクをクリックすると、攻撃者の選択したコードがユーザーのコンピュータの標的となる場所に保存される可能性があります。
何が原因で起こりますか?
ドラッグ アンド ドロップ技術が、特定のダイナミック HTML (DHTML) イベントを検証するプロセスため、この脆弱性が起こります。この結果、ユーザーがリンクをクリックした後、ユーザーのコンピュータにファイルがダウンロードされる可能性があります。
DHTML イベントとは何ですか?
DHTML イベントとは DHTML オブジェクト モデルにより提供される特別な動作です。これらのイベントはスクリプトコードで使用され、Web サイトに動的なコンテンツを追加します。DHTML イベントに関する詳細は MSDN (英語情報) をご覧下さい。
攻撃者はこの脆弱性を悪用し、何を行なう可能性がありますか?
攻撃者はこの脆弱性を悪用し、攻撃者の任意のコードをユーザーのローカル ファイル システムに保存する可能性があります。この脆弱性が直接悪用されても、このコードは実行されませんが、コードが敏感な場所にドロップされた場合、またはユーザーが不注意にもそのファイルをクリックした場合、オペレーティングシステムがファイルを開く、または攻撃者のコードが実行される可能性があります。
攻撃者は、どのようにこの脆弱性を悪用する可能性がありますか?
この脆弱性が悪用されるには、この特定の脆弱性を悪用するようデザインされたリンクを持つ Web ページを含む Web サイトをホストする、またはそのようなリンクを持つ HTML 形式の電子メールを作成し、ユーザーにその Web サイトを訪問するよう誘導することが攻撃者にとっての必要条件となります。ユーザーが悪質なリンクをクリックすると、攻撃者の任意のコードがユーザーのコンピュータの標的となる場所に保存される可能性があります。
主に、どのコンピュータがこれらの脆弱性による危険にさらされますか?
Internet Explorer がインストールされているすべてのコンピュータがこの脆弱性による危険にさらされます。この累積的な更新プログラムを、すべてのコンピュータに直ちにインストールして下さい。しかし、これらの脆弱性が悪用され、悪質な操作が行われるには、ユーザーがログオンし、Internet Explorer を使用することが、攻撃者にとっての必要条件となります。したがって、Internet Explorer が積極的に使用されているコンピュータ (例 : ユーザーのワークステーション) が、最もこの脆弱性による危険にさらされます。Internet Explorer が積極的に使用されていないコンピュータ (例 : ほとんどのサーバー コンピュータ) が危険にさらされる可能性は低くなります。
この累積的な更新プログラムは何を修正しますか?
この累積的な更新プログラムは、DHTML イベント中、関数ポインタを使用するドラッグアンド ドロップ操作を正しく評価することにより、この脆弱性を修正します。
CAN-2003-1025 : 不適切な URL の正規化の脆弱性により、攻撃者が Web サイトを偽装する
どのようなことが起こる可能性がありますか?
現在訪問されている Web サイトを表示するために Internet Explorer が使用するアドレスに関連する脆弱性が存在します。この脆弱性により、Internet Explorer により実際に表示されている Web ページではない間違った URL が、アドレス バーに表示されます。たとえば、攻撃者は、ユーザーによりクリックされると、アドレス バーに http://www.tailspingtoys.com を表示しますが、実際は http://www.wingtiptoys.com などの別の Web サイトからのコンテンツを含むリンクを作成する可能性があります。(注 : これらの Web サイトは単に例として提供されており、どちらも http://www.microsoft.com にリダイレクトされます。)
何が原因で起こりますか?
Internet Explorer が HTTP URL 内の特別な文字を解析する時に起こる正規化のエラーにより、この脆弱性が起こります。
HTTP URL とは何ですか?
HTTP URL とは、HTTP を介し到達可能なリソースにアドレスを指定するために使用される Uniform Resource Locator です。URI の一般的な構文は RFC 2396 - Uniform Resource Identifiers (URI): Generic Syntax (英語情報) で定義されています。HTTP URL の特定の構文は RFC 2616 - Hypertext Transfer Protocol -- HTTP/1.1: (英語情報) で定義されています。
http_URL = "http:" "//" host [ ":" port ] [ abs_path [ "?" query ]]
攻撃者はこの脆弱性を悪用し、何を行なう可能性がありますか?
攻撃者はこの脆弱性を悪用し、ブラウザ ウィンドウに異なる Web サイトを表示し、攻撃者が選択した URL をアドレス バーに表示する Web ページを作成する可能性があります。この脆弱性により、攻撃者は正当な Web サイトを偽装する悪質な Web ページを作成する可能性があります。たとえば、攻撃者は、ユーザーのオンラインの電子メールサイトのように見える Web ページを作成する可能性があります。この Web ページは悪質な Web サイトにホストされていますが、攻撃者はこの脆弱性を悪用し、正当に見える URL をアドレス バーに表示する可能性があります。ユーザーは、この URL を見て、騙されて攻撃者の Web サイトに機密情報を提供する可能性があります。
攻撃者はどのようにしてこの脆弱性を悪用する可能性がありますか?
この脆弱性の 1 つが悪用されるには、特別に作成されたリンクを持つ Web ページを含む悪質な Web サイトをホストし、次にユーザーにそのリンクをクリックするよう誘導することが、攻撃者にとっての必要条件となります。また、攻撃者は、特別に作成されたリンクを持つ HTML 形式の電子メールを作成し、ユーザーにその HTML 形式の電子メール メッセージを表示し、悪質なリンクをクリックするよう誘導する可能性もあります。ユーザーがこのようなリンクをクリックすると、Internet Explorer ウィンドウが攻撃者の選択した HTTP URL で、アドレス バーで開かれる可能性があります。しかし、コンテンツは攻撃者の選択した Web サイトからのものでアドレスバーと異なります。
この累積的な更新プログラムは何を修正しますか?
この累積的な更新プログラムは Internet Explorer が URL の特別な文字を正しく解析し、正しいアドレスがアドレス バーに表示されるようにして、この脆弱性を修正します。また、この累積的な更新プログラムは、“username:password@” 形式を使用することにより、認証を実行する機能を削除することにより、Internet Explorer の HTTP URL の処理をさらに RFC 2616 - Hypertext Transfer Protocol -- HTTP/1.1: (英語情報) に準拠させます。この Internet Explorer の既定の動作の変更は、サポート技術情報 834489 で説明されています。
セキュリティ更新プログラムに関する情報 |
必要条件 :
マイクロソフトはこのセキュリティ情報に記載されている Windows のバージョンおよび Internet Explorer のバージョンをテストし、これらの脆弱性による影響を評価し、このセキュリティ情報で説明されている更新プログラムがこれらの脆弱性を解決することを確認しました。
Internet Explorer 6 Service Pack 1 用の累積的な更新プログラムをインストールするためには、次の Windows のうちの一つと Internet Explorer 6 SP1 (バージョン 6.00.2800.1106) がインストールされている必要があります。
| • | Microsoft Windows NT® Workstation 4.0 Service Pack 6a |
| • | Microsoft Windows NT Server 4.0 Service Pack 6a |
| • | Microsoft Windows NT Server 4.0 Terminal Server Edition, Service Pack 6 |
| • | Microsoft Windows 2000 Service Pack 2, Service Pack 3, Service Pack 4 |
| • | Microsoft Windows XP |
| • | Microsoft Windows XP Service Pack 1 |
| • | Microsoft Windows XP 64-Bit Edition, Service Pack 1 |
Windows Server 2003 上の Internet Explorer 6 バージョン用の累積的な更新プログラムをインストールするためには、Windows Server 2003 (32-bit または 64-bit) に Internet Explorer 6 (バージョン 6.00.3790.0000) がインストールされているか、Windows XP 64-Bit Edition, Version 2003 に Internet Explorer 6 (バージョン 6.00.3790.0000) がインストールされている必要があります。
Internet Explorer 6 バージョン用の累積的な更新プログラムをインストールするためには、Windows XP に Internet Explorer 6 (バージョン 6.00.2600.0000) がインストールされている必要があります。
Internet Explorer 5.5 バージョン用の累積的な更新プログラムをインストールするためには、Windows Millennium Edition に Internet Explorer 5.5 Service Pack 2 (バージョン 5.50.4807.2300) がインストールされている必要があります。
注 : Internet Explorer 5.5 SP2 は、現在 Windows Millennium Edition (Windows Me) 上でのみサポートされています。しかしながら、このセキュリティ情報で説明されている脆弱性は 2003 年 12 月 31 日 (米国時間) より前に報告されたものであるため、このバージョンの更新プログラムは Windows 2000 Service Pack 2、Service Pack 3 および Service Pack 4、ならびに Windows 98、Windows 98 Second Edition、および Windows NT 4.0 Service Pack 6a 上でも利用可能です。Internet Explorer 5.5 SP2 のサポートに関する詳細は次のマイクロソフト ライフサイクルのページをご覧ください。Microsoft Windows Millennium Edition には、現在延長サポートが行われています。詳細はこちら をご覧下さい。
Internet Explorer 5.01 バージョン用の累積的なセキュリティ更新プログラムをインストールするには、次のうちの 1 つに該当している必要があります。
| • | Windows 2000 SP4 上で Internet Explorer 5.01 Service Pack 4 (バージョン 5.00.3700.1000) |
| • | Windows 2000 SP3 上で Internet Explorer 5.01 Service Pack 3 (バージョン 5.00.3502.1000) |
| • | Windows 2000 SP2 上で Internet Explorer 5.01 Service Pack 2 (バージョン 5.00.3315.1000) |
注 : このセキュリティ情報に記載されていない Windows のバージョンおよび Internet Explorer のバージョンは製品ライフサイクルの延長フェーズまたはサポート対象外のいずれかです。このセキュリティ情報で説明されている累積的な更新プログラムのいくつかを Windows または Internet Explorer のこれらのバージョンにインストールすることはできますが、マイクロソフトはこれらのバージョンをテストし、これらの脆弱性による影響を評価、または、このセキュリティ情報で説明されている累積的な更新プログラムがこれらの脆弱性を解決することを確認していません。マイクロソフトは Windows および Internet Explorer をサポートされているバージョンにアップグレードし、適切な累積的な更新プログラムを適用することを推奨します。実行している Internet Explorer のバージョンの確認方法に関する情報は、次のサポート技術情報をご覧下さい。
164539 インストールされている Internet Explorer のバージョン確認方法
Windows オペレーティングシステム コンポーネントのライフサイクルに関する詳細は
http://support.microsoft.com/gp/lifeselect をご覧下さい。
Internet Explorer 6 Service Pack 1 の入手方法に関する情報は、次のサポート技術情報をご覧下さい。
328548 最新の Internet Explorer 6 Service Pack を入手する方法
Internet Explorer 5.5 用の最新のサービス パックの入手方法に関する情報は、次のサポート技術情報をご覧下さい。
276369 Internet Explorer 5.5 の最新の Service Pack を入手する方法
Internet Explorer 5.01 Service Pack 3 の入手方法に関する情報は、次のサポート技術情報をご覧下さい。
267954 最新の Internet Explorer 5.01 Service Pack を入手する方法
再起動の必要性 :
インストールを完了させるためには再起動が必要です。この更新プログラムのすべてのバージョンについて、コンピュータの再起動後、管理者ログオンを使用する必要はありません。
以前の更新プログラムの状況 :
この更新プログラムは 2003 年 11 月にリリースされた MS03-048 の「Internet Explorer 用の累積的な修正プログラム (824145)」を含みます。
インストール情報 :
Windows Server 2003 バージョンのこのセキュリティ更新プログラム (Windows XP 64 -Bit Edition, Version 2003 を含む) は次のセットアップ スイッチをサポートします。
/help: コマンド ライン オプションを表示します
セットアップモード
/quiet: QUIET モード (ユーザー入力を必要としません。表示もしません)
/passive: 無人モード (進行状況バーのみ)
/uninstall: パッケージをアンインストールします
再起動オプション
/norestart: インストールの完了後、再起動しません
/forcerestart: インストール後、再起動します
特別なオプション
/l: インストール済みの Windows 更新プログラムまたは更新プログラムパッケージを表示します
/o: 確認メッセージを表示せずに OEM ファイルを上書きします
/n: アンインストールに必要なファイルのバックアップを作成しません
/f: シャットダウン時に他のプログラムを強制終了します
適用に関する情報 :
Windows Server 2003 32 ビット用のこのセキュリティ更新プログラムをユーザーの操作なしでインストールするためには、次のコマンドラインを使用して下さい。
windowsserver2003-kb832894-x86-jpn.exe /quiet /passive
コンピュータを強制的に再起動せずに、このセキュリティ更新プログラムをインストールするためには、次のコマンドラインを使用して下さい。
windowsserver2003-kb832894-x86-jpn.exe /norestart
注 : これらのスイッチを 1 つのコマンド ラインに組み込むことができます。過去のものとの互換性のため、このセキュリティ更新プログラムは、セットアップ ユーティリティの以前のバージョンにより使用されるセットアップ スイッチもサポートします。しかし、このサポートは今後のセキュリティ更新プログラムで削除される可能性があるため、これらの以前のスイッチの使用は停止して下さい。
このセキュリティ更新プログラム以外の更新プログラムは次のスイッチをサポートします。
/q: ファイルが抽出される時、自動モードを使用、またはメッセージを表示しません。
/q:u: User-Quiet モードを使用します。User-Quiet モードはユーザーにいくつかのダイアログ ボックスを表示します。
/q:a: Use Administrator-Quiet モードを使用します。Administrator-Quiet モードはユーザーにダイアログ ボックスを表示しません。
/t: path: セットアップまたはファイルの抽出のターゲットフォルダにより使用される一時フォルダの場所を指定します。(/c スイッチを使用する場合)
/c: ファイルをインストールせずに抽出します。/t: path スイッチを指定していない場合、ターゲットフォルダについて確認メッセージが表示されます。
/c: path: Setup .inf ファイルまたは .exe ファイルのパスおよび名前を指定します。
/r:n: インストール後、コンピュータを再起動しません。
/r:i: 再起動が必要である場合、ユーザーにコンピュータを再起動するよう確認メッセージを表示します。(このスイッチが /q:a スイッチと使用される場合を除く)
/r:a: インストール後、コンピュータを常に再起動します。
/r:s: ユーザーに確認メッセージを表示せずに、インストール後コンピュータを再起動します。
/n:v: バージョンをチェックしません。Internet Explorer のすべてのバージョンについての更新プログラムをインストールするにあたり、注意してこのスイッチを使用して下さい。
たとえば、ユーザーの操作なしで、またコンピュータの再起動を強制せずにこの更新プログラムをインストールするためには、次のコマンドラインを使用して下さい。
q832894.exe /q:a /r:n
更新プログラムが正しくインストールされたかどうか確認する方法 :
セキュリティ更新プログラムが影響を受けるコンピュータにインストールされていることを確認するためには、Microsoft Baseline Security Analyzer (MBSA) ツールを使用して下さい。Microsoft Baseline Security Analyzer (MBSA) により、管理者は、一般的なセキュリティ上誤った構成とともに、不足しているセキュリティ更新プログラムについて、ローカル コンピュータおよびリモート コンピュータをスキャンすることができます。MBSA に関する追加情報は、Microsoft Baseline Security Analyzer の Web サイトをご覧下さい。
また、次の方法の 1 つを使用することにより、このセキュリティ更新プログラムがインストールしたファイルを確認することもできます。
Internet Explorer の [バージョン情報] ダイアログボックスの [更新バージョン] フィールドに Q832894 が表示されていることを確認して下さい。この方法は Windows Server 2003 または Windows XP 64-Bit Edition, Version 2003 に使用することはできません。この理由はこのパッケージはこれらの Windows のバージョンの [更新バージョン] フィールドを更新しないためです。
お客様のコンピュータの更新されたファイルのバージョンを、このセキュリティ情報の「ファイルに関する情報」に記載されているファイルと比較して下さい。
次のレジストリ エントリが存在していることを確認して下さい。
| • | Windows Server 2003 および Windows XP 64-Bit Edition, Version 2003 : DWORD 値 1 を持つ Installed が次のレジストリ キーに存在することを確認して下さい。
| ||
| • | Windows のそのほかのすべてのバージョン : DWORD 値 1 を持つ IsInstalled が次のレジストリ キーに存在することを確認して下さい。
|
削除に関する情報 :
この更新プログラムを削除するためには、[コントロール パネル] の [プログラムの追加と削除] を使用して下さい。Internet Explorer Q832894 をクリックし、変更/削除 (または追加/削除) をクリックして下さい。
Windows Server 2003 および Windows XP 64-Bit Edition, Version 2003 で、システム管理者は Spunist.exe ユーティリティを使用し、このセキュリティ更新プログラムを削除することができます。Spuninst.exe ユーティリティは %Windir%\$NTUninstallKB832894$\Spuninst フォルダにあります。このユーティリティは次のセットアップ スイッチをサポートします。
/?: インストール スイッチの一覧を表示します
/u: バックグラウンド モードを使用します
/f: コンピュータがシャット ダウンする時、そのほかのプログラムを強制的に閉じます
/z: インストールが完了する時、再起動しません
/q: 自動モードを使用します (ユーザーの操作なし)
Windows のすべてのそのほかのバージョンで、システム管理者は Ieuninst.exe ユーティリティを使用し、このセキュリティ更新プログラムを削除することができます。このセキュリティ更新プログラムは Ieuninst.exe ユーティリティを %Windir% フォルダにインストールします。このユーティリティは次のコマンド ライン スイッチをサポートします。
/?: サポートされているスイッチの一覧を表示します
/z: インストールが完了する時、再起動しません
/q: 自動モードを使用します (ユーザーの操作なし)
たとえば、この更新プログラムをメッセージなしで削除するためには、次のコマンドを使用して下さい。
c:\windows\ieuninst /q c:\windows\inf\q832894.inf
注 : このコマンドは Windows が C:\Windows フォルダにインストールされていることを前提としています。
ファイルに関する情報 :
この更新プログラムの日本語版は次の表に挙げられているファイル属性 (またはそれ以降) を持ちます。
注 : ファイルの依存性のため、この更新プログラムには追加のファイルが含まれる場合があります。
以下の情報の中から、ご使用のプラットフォーム向けのセキュリティ更新プログラムに関する情報をご覧ください。
Windows XP、Windows XP SP1、Windows 2000 SP2、Windows 2000 SP3、Windows 2000 SP4、Windows NT 4.0 SP6a 用の Internet Explorer 6 SP1 |
Windows XP 64-Bit Edition 用の Internet Explorer 6 SP1 (64-Bit) |
Windows Server 2003 用の Internet Explorer 6 |
Windows 2003 64-Bit Versions および Windows XP 64-Bit Edition, Version 2003 用の Internet Explorer 6 SP1 (64-Bit) |
Windows XP 用の Internet Explorer 6 |
Windows Millennium Edition 用の Internet Explorer 5.5 SP2 |
Windows 2000 SP2 用の Internet Explorer 5.01 |
Windows 2000 SP3 用の Internet Explorer 5.01 |
Windows 2000 SP4 用の Internet Explorer 5.01 |
謝辞 :
「Travel Log のクロス ドメインの脆弱性」CAN-2003-1026 を連絡し、顧客の保護に協力して下さった Andreas Sandblad 氏 に対し、マイクロソフトは深い謝意を表します。
他のセキュリティ更新プログラムの入手先 :
他のセキュリティ問題を解決する更新プログラムは以下のサイトから入手できます。
| • | セキュリティ更新プログラムはマイクロソフト ダウンロード センターからダウンロードすることができます。「security_patch」 のキーワード探索によって容易に見つけることができます。 |
| • | コンシューマ プラットフォーム用の更新プログラムは、Microsoft Update Web サイトからダウンロードできます。 |
| • | 本セキュリティ情報及び公開された更新プログラムは、TechNet CD サブスクリプションでも入手可能です。 |
Software Update Services (SUS):
Microsoft Software Update Services (SUS) は、最新の重要な更新プログラムを適用し、Windows ベースのシステムを最新の状態に維持するプロセスを大幅に簡素化する目的で開発されました。SUS により、重要な更新プログラムを Windows® 2000 や Windows Server™ 2003 ベースのサーバー、ならびに Windows® 2000 Professional や Windows XP Professional を実行するデスクトップ コンピュータへ迅速かつ確実に配布することができます。
Software Update Services に関するより詳細な情報は以下をご覧ください:
http://www.microsoft.com/japan/windows2000/windowsupdate/sus/
Systems Management Server (SMS):
Systems Management Server は、このセキュリティ更新プログラムの適用にあたり、ヘルプを提供します。Systems Management Server に関する情報は、SMS の Web サイトをご覧下さい。SMS は、SMS 2.0 Software Update Services Feature Pack および SMS 2.0 Administration Feature Pack のようなセキュリティ更新プログラムの適用において、管理者の手助けとなるいくつかの追加のツールも提供します。SMS 2.0 Software Update Services Feature Pack は、Microsoft Baseline Security Analyzer および Microsoft Office Detection Tool を活用し、セキュリティ情報の改善策に広範なサポートを提供します。いくつかのソフトウェア更新プログラムは、コンピュータの再起動後、管理者権限を必要とする場合があります。
注 : SMS 2.0 Software Update Services Feature Pack のインベントリ機能は、特定のコンピュータのソフトウェアの更新、SMS 2.0 Administration Feature Pack の上位権利での展開ツールは、アプリケーションの展開が可能です。特定の更新でシステムの再起動後にローカルの管理者権限が必要となる場合に最適な配布方法を提供します。
他のセキュリティ情報 :
| • | Microsoft TechNet Security センター では、製品に関するセキュリティ情報を提供しています。 |
| • | Microsoft Software Update Services : http://www.microsoft.com/japan/windowsserversystem/updateservices/ |
| • | Microsoft Baseline Security Analyzer (MBSA) : http://www.microsoft.com/japan/technet/security/tools/Tools/mbsahome.asp MBSA ツールのセキュリティ更新プログラムの検出に関する制限は http://support.microsoft.com/kb/306460 をご覧ください。 |
| • | Windows Update カタログ : http://support.microsoft.com/kb/323166 |
| • | Microsoft Update : http://update.microsoft.com/microsoftupdate/ |
| • | Office のアップデート : http://office.microsoft.com/officeupdate/ |
サポート :
更新プログラムについてのご質問は、マイクロソフト プロダクト サポート までご連絡ください。マイクロソフトでは、ご質問の内容が弊社製品の不具合が原因の場合、サポート料金はいただきません。それ以外の場合には、サポート料金を請求させていただきますのでご注意ください。
マイクロソフト プロダクト サポートへの連絡方法はこちらをご覧ください。
詳細情報 :
| • | US マイクロソフトセキュリティ情報（MS04-004） |
| • | サポート技術情報 （KB） 文書番号 ： 832894 |
更新履歴 :
| • | 2004/02/03 : このセキュリティ情報ページを公開しました。 |
| • | 2004/02/04: 「よく寄せられる質問」 および 「必要条件」 に Internet Explorer 5.5 SP2 の情報を追加しました。「技術的な説明」 の Outlook の問題を緩和する要素を更新しました。「よく寄せられる質問」 に Windows 98、Windows 98 Second Edition、および Windows Me の情報を追加しました。 |
| • | 2004/02/09: 「技術的な説明」の MSXML の更新プログラムの情報を更新しました。 |
| • | 2004/02/12 : 「警告」、「技術的な詳細」 および 「よく寄せられる質問」 の欄を更新し、Internet Explorer の保護されたストアの変更に関する情報を追加しました。 |
| • | 2004/02/13 : 「警告」、「技術的な詳細」 および 「よく寄せられる質問」 の欄を更新し、SSL/TLS 3.0 サイト訪問時に HTTP 500 (Internal Server Error) エラーが発生する場合があるという情報を追加しました。 |
| • | 2004/02/19 : 「よく寄せられる質問」 に説明されている SSL の問題について、サーバー側の回避策を追加しました。また、「技術的な詳細」 の欄の 「深刻度」 で Windows 2003 Internet Explorer 6 から “SP1” を削除し、「セキュリティ更新プログラムに関する情報」 の欄に新しいセットアップ ユーティリティのためのセットアップ スイッチを追加しました。 |
| • | 2004/04/14 : 「警告」、「技術的な詳細」 および 「よく寄せられる質問」 の欄を更新し、SSL/TLS 3.0 サイト訪問時の HTTP 500 (Internal Server Error) エラーを対策する更新プログラムが、Microsoft Update に公開されたことをお知らせいたしました。 |
本セキュリティ情報に含まれている情報は、いかなる保証もない現状ベースで提供されるものです。Microsoft Corporation 及びその関連会社は、市場性および特定の目的への適合性を含めて、明示的にも黙示的にも、一切の保証をいたしません。さらに、Microsoft Corporation 及びその関連会社は、本文書に含まれている情報の使用及び使用結果につき、正確性、真実性等、いかなる表明・保証も行ないません。Microsoft Corporation、その関連会社及びこれらの権限ある代理人による口頭または書面による一切の情報提供またはアドバイスは、保証を意味するものではなく、かつ上記免責条項の範囲を狭めるものではありません。Microsoft Corporation、その関連会社 及びこれらの者の供給者は、直接的、間接的、偶発的、結果的損害、逸失利益、懲罰的損害、または特別損害を含む全ての損害に対して、状況のいかんを問わず一切責任を負いません。（Microsoft Corporation、その関連会社 またはこれらの者の供給者がかかる損害の発生可能性を了知している場合を含みます。) 結果的損害または偶発的損害に対する責任の免除または制限を認めていない地域においては、上記制限が適用されない場合があります。-