Internet Explorer 用の累積的なセキュリティ更新プログラム (834707) (MS04-038)

Web ベースの攻撃シナリオでは、この脆弱性が悪用される Web ページが含まれる Web サイトをホストすることが攻撃者にとっての必要条件となります。攻撃者は、悪質な Web サイトにユーザーを強制的に訪問させることはできません。その代わり、攻撃者は、通常攻撃者のサイトへのリンクをユーザーにクリックさせるなどの方法により、ユーザーをそのような Web サイトに誘導することが攻撃者にとっての必要条件となります。ユーザーがリンクをクリックした後、ユーザーにいくつかの動作を実行するよう誘導するメッセージが表示される可能性があります。ユーザーがそのような操作を行った場合にのみ、攻撃が実行される可能性があります。

攻撃者はこの脆弱性を悪用し、ユーザーと同じ特権を取得する可能性があります。コンピュータ上でほとんど特権を持たないよう構成されているアカウントを持つユーザーは、管理者特権で実行しているユーザーよりも危険にさらされる可能性は低くなります。

既定で Outlook Express 6、Outlook 2002 および Outlook 2003 は HTML 形式の電子メール メッセージを制限付きサイト ゾーンで開きます。さらに、Outlook 98 および Outlook 2000 は、Office 2000 アップデート: Service Pack 3 (SP-3) がインストールされている場合、HTML 形式の電子メール メッセージを制限付きサイト ゾーンで開きます。Outlook Express 5.5 Service Pack 2 は、マイクロソフト セキュリティ情報 MS04-018 で提供された更新プログラムがインストールされている場合、HTML 形式の電子メールを制限付きサイト ゾーンで開きます。制限付きサイト ゾーンはこの脆弱性を悪用する攻撃を受ける可能性を低減する手助けとなります。

次のすべての条件があてはまる場合、HTML 形式の電子メールによる攻撃の危険は著しく低減されます。

既定で、Windows Server 2003 上の Internet Explorer は、この脆弱性を緩和する「セキュリティ強化の構成」と呼ばれる制限されたモードで実行されます。Internet Explorer のセキュリティ強化の構成に関する詳細情報については、このセキュリティ更新プログラムに関する「よく寄せられる質問」をご覧下さい。

次の製品はこの脆弱性による影響を受けません。

インターネットおよびローカルイントラネットゾーンの設定を「高」に設定し、インターネットおよびローカルイントラネットゾーンで ActiveX コントロールおよび Active スクリプティングを実行する前にダイアログを表示する

インターネット セキュリティ ゾーンの設定を変更し、ActiveX コントロールおよびアクティブ スクリプトが実行される前にダイアログが表示されるようにすると、この脆弱性に対する保護の手助けとなります。

これを行うためには、次のステップにしたがってください。

Web サイトを信頼される Web サイトのみに制限する

インターネットおよびローカル イントラネット ゾーンで ActiveX コントロールが実行される前にダイアログが表示されるように設定した後、信頼する Web サイトを Internet Explorer の [信頼済み] サイトに追加することができます。これにより、信頼されていない Web サイトからのこの攻撃から保護する手助けを行いながら、現在使用しているのとまったく同様に、信頼する Web サイトを引き続き使用することができます。マイクロソフトは信頼される Web サイトのみを [信頼済み] サイト ゾーンに追加することを推奨します。

これを行うためには、次のステップにしたがってください。

Outlook 2000 Service Pack 1 またはそれより前のバージョンを使用している場合、Outlook 電子メールセキュリティアップデートをインストールする

既定で、Outlook Express 6、Outlook 2002、および Outlook 2003 は、HTML 形式の電子メールを制限付きサイト ゾーンで開きます。また、Outlook 98 および Outlook 2000 も、Outlook 電子メール セキュリティ 更新プログラムがインストールされている場合、HTML 形式の電子メール メッセージが制限付きサイト ゾーンで開きます。

これらの製品のいずれかを使用しているお客様は、ユーザーが電子メール メッセージの悪質なリンクをクリックしない限り、この脆弱性の悪用を試みる電子メールによる攻撃の危険性が低減されます。

Outlook Express 5.5 SP2 を使用している場合、マイクロソフトセキュリティ情報MS04-018に含まれている更新プログラムをインストールするOutlook Express 5.5 Service Pack 2 は、MS04-018に含まれている更新プログラムがインストールされている場合、HTML 形式の電子メールメッセージが制限付きサイトゾーンで開く

これらの製品のいずれかを使用しているお客様は、ユーザーが電子メール メッセージの悪質なリンクをクリックしない限り、この脆弱性の悪用を試みる電子メールによる攻撃の危険性が低減されます。

Outlook 2002 以降、および Outlook Express 6 Service Pack 1 以降を使用している場合、電子メールメッセージをテキスト形式で表示するよう設定してください。これにより、HTML 形式の電子メールを経路とする攻撃からシステムを保護することができます。

Office XP Service Pack 1 以降を適用している Microsoft Outlook 2002 ユーザー、および Internet Explorer 6 Service Pack 1 を適用している Outlook Express 6 ユーザーは、デジタル署名されていないすべての電子メール メッセージまたは暗号化されていない電子メール メッセージを、テキスト形式のみで表示するよう設定できます。

デジタル署名されている電子メール メッセージおよび暗号化されている電子メール メッセージは、設定による影響は受けず、その元の形式で読み取ることができる場合があります。 Outlook 2002 のこの設定を有効にする方法に関する情報は、サポート技術情報 307594 で説明されています。

この設定を Outlook Express 6 で行う方法の詳細については、サポート技術情報 291387 をご覧ください。

回避策の影響 : テキスト形式で電子メールが表示されるように設定すると、画像、特別なフォント、アニメーションまたはそのほかのリッチ コンテンツは含まれなくなります。さらに、次の処理が実行されます。

Web ベースの攻撃シナリオでは、この脆弱性が悪用される Web ページが含まれる Web サイトをホストすることが攻撃者にとっての必要条件となります。攻撃者は、悪質な Web サイトにユーザーを強制的に訪問させることはできません。その代わり、攻撃者は、通常攻撃者のサイトへのリンクをユーザーにクリックさせるなどの方法により、ユーザーをそのような Web サイトに誘導することが攻撃者にとっての必要条件となります。ユーザーがリンクをクリックした後、ユーザーにいくつかの動作を実行するよう誘導するメッセージが表示される可能性があります。ユーザーがそのような操作を行った場合にのみ、攻撃が実行される可能性があります。

攻撃者はこの脆弱性を悪用し、ユーザーと同じ特権を取得する可能性があります。コンピュータ上でほとんど特権を持たないよう構成されているアカウントを持つユーザーは、管理者特権で実行しているユーザーよりも危険にさらされる可能性は低くなります。

マイクロソフト セキュリティ情報 MS04-024 で説明された更新プログラムおよびサポート技術情報 870669 で説明された ADODB.Stream の更新プログラムの両方をインストールした場合、リモートでコードが実行される脆弱性の危険性が低減します。

既定で Outlook Express 6、Outlook 2002 および Outlook 2003 は HTML 形式の電子メール メッセージを制限付きサイト ゾーンで開きます。さらに、Outlook 98 および Outlook 2000 は、Office 2000 アップデート: Service Pack 3 (SP-3) がインストールされている場合、HTML 形式の電子メール メッセージを制限付きサイト ゾーンで開きます。Outlook Express 5.5 Service Pack 2 は、マイクロソフト セキュリティ情報 MS04-018 で提供された更新プログラムがインストールされている場合、HTML 形式の電子メールを制限付きサイト ゾーンで開きます。制限付きサイト ゾーンはこの脆弱性を悪用する攻撃を受ける可能性を低減する手助けとなります。

次のすべての条件があてはまる場合、HTML 形式の電子メールによる攻撃の危険は著しく低減されます。

既定で、Windows Server 2003 上の Internet Explorer は、この脆弱性を緩和する「セキュリティ強化の構成」と呼ばれる制限されたモードで実行されます。Internet Explorer のセキュリティ強化の構成に関する詳細情報については、このセキュリティ更新プログラムに関する「よく寄せられる質問」をご覧下さい。

次の製品はこの脆弱性による影響を受けません。

インターネットおよびローカルイントラネットゾーンの設定を「高」に設定し、インターネットおよびローカルイントラネットゾーンで ActiveX コントロールおよび Active スクリプティングを実行する前にダイアログを表示する

インターネット セキュリティ ゾーンの設定を変更し、ActiveX コントロールおよびアクティブ スクリプトが実行される前にダイアログが表示されるようにすると、この脆弱性に対する保護の手助けとなります。

これを行うためには、次のステップにしたがってください。

Web サイトを信頼される Web サイトのみに制限する

インターネットおよびローカル イントラネット ゾーンで ActiveX コントロールが実行される前にダイアログが表示されるように設定した後、信頼する Web サイトを Internet Explorer の [信頼済み] サイトに追加することができます。これにより、信頼されていない Web サイトからのこの攻撃から保護する手助けを行いながら、現在使用しているのとまったく同様に、信頼する Web サイトを引き続き使用することができます。マイクロソフトは信頼される Web サイトのみを [信頼済み] サイト ゾーンに追加することを推奨します。

これを行うためには、次のステップにしたがってください。

Internet Explorer のマイコンピュータゾーンのセキュリティ設定を強化する

この脆弱性により、攻撃者はマイ コンピュータ ゾーンで HTML 形式のコードを実行できるため、ユーザーは、このゾーンの既定の設定を制限することにより、この脆弱性の影響を低減することができます。これらの設定に関する詳細情報およびこれらの既定の設定の変更により起こる可能性のある影響に関する詳細情報は、マイクロソフト サポート技術情報 833633 をご覧下さい。

回避策の影響 : マイクロソフトはお客様に Internet Explorer のセキュリティ設定へのこれらの変更は最後の手段として検討することを推奨します。これらの変更を行った場合、Windows プログラムおよびコンポーネントのいくつかの機能が失われる場合があります。運用環境でこれらの変更を行う前に、広範なテストを行い、すべてのユーザーにミッションクリティカルなプログラムが引き続き動作することを確認して下さい。

Outlook 2000 Service Pack 1 またはそれより前のバージョンを使用している場合、Outlook 電子メールセキュリティアップデートをインストールする

既定で、Outlook Express 6、Outlook 2002、および Outlook 2003 は、HTML 形式の電子メールを制限付きサイト ゾーンで開きます。また、Outlook 98 および Outlook 2000 も、Outlook 電子メール セキュリティ 更新プログラムがインストールされている場合、HTML 形式の電子メール メッセージが制限付きサイト ゾーンで開きます。

これらの製品のいずれかを使用しているお客様は、ユーザーが電子メール メッセージの悪質なリンクをクリックしない限り、この脆弱性の悪用を試みる電子メールによる攻撃の危険性が低減されます。

Outlook Express 5.5 SP2 を使用している場合、マイクロソフトセキュリティ情報MS04-018に含まれている更新プログラムをインストールするOutlook Express 5.5 Service Pack 2 は、MS04-018に含まれている更新プログラムがインストールされている場合、HTML 形式の電子メールメッセージが制限付きサイトゾーンで開く

これらの製品のいずれかを使用しているお客様は、ユーザーが電子メール メッセージの悪質なリンクをクリックしない限り、この脆弱性の悪用を試みる電子メールによる攻撃の危険性が低減されます。

Outlook 2002 以降、および Outlook Express 6 Service Pack 1 以降を使用している場合、電子メールメッセージをテキスト形式で表示するよう設定してください。これにより、HTML 形式の電子メールを経路とする攻撃からシステムを保護することができます。

Office XP Service Pack 1 以降を適用している Microsoft Outlook 2002 ユーザー、および Internet Explorer 6 Service Pack 1 を適用している Outlook Express 6 ユーザーは、デジタル署名されていないすべての電子メール メッセージまたは暗号化されていない電子メール メッセージを、テキスト形式のみで表示するよう設定できます。

デジタル署名されている電子メール メッセージおよび暗号化されている電子メール メッセージは、設定による影響は受けず、その元の形式で読み取ることができる場合があります。 Outlook 2002 のこの設定を有効にする方法に関する情報は、サポート技術情報 307594 で説明されています。

この設定を Outlook Express 6 で行う方法の詳細については、サポート技術情報 291387 をご覧ください。

回避策の影響 : テキスト形式で電子メールが表示されるように設定すると、画像、特別なフォント、アニメーションまたはそのほかのリッチ コンテンツは含まれなくなります。さらに、次の処理が実行されます。

Web ベースの攻撃シナリオでは、この脆弱性が悪用される Web ページが含まれる Web サイトをホストすることが攻撃者にとっての必要条件となります。攻撃者は、悪質な Web サイトにユーザーを強制的に訪問させることはできません。その代わり、攻撃者は、通常攻撃者のサイトへのリンクをユーザーにクリックさせるなどの方法により、ユーザーをそのような Web サイトに誘導することが攻撃者にとっての必要条件となります。ユーザーがリンクをクリックした後、ユーザーにいくつかの動作を実行するよう誘導するメッセージが表示される可能性があります。ユーザーがそのような操作を行った場合にのみ、攻撃が実行される可能性があります。

攻撃者はこの脆弱性を悪用し、ユーザーと同じ特権を取得する可能性があります。コンピュータ上でほとんど特権を持たないよう構成されているアカウントを持つユーザーは、管理者特権で実行しているユーザーよりも危険にさらされる可能性は低くなります。

マイクロソフト セキュリティ情報 MS04-024 で説明された更新プログラムおよびサポート技術情報 870669 で説明された ADODB.Stream の更新プログラムの両方をインストールした場合、リモートでコードが実行される脆弱性の危険性が低減します。

既定で Outlook Express 6、Outlook 2002 および Outlook 2003 は HTML 形式の電子メール メッセージを制限付きサイト ゾーンで開きます。さらに、Outlook 98 および Outlook 2000 は、Office 2000 アップデート: Service Pack 3 (SP-3) がインストールされている場合、HTML 形式の電子メール メッセージを制限付きサイト ゾーンで開きます。Outlook Express 5.5 Service Pack 2 は、マイクロソフト セキュリティ情報 MS04-018 で提供された更新プログラムがインストールされている場合、HTML 形式の電子メールを制限付きサイト ゾーンで開きます。制限付きサイト ゾーンはこの脆弱性を悪用する攻撃を受ける可能性を低減する手助けとなります。

次のすべての条件があてはまる場合、HTML 形式の電子メールによる攻撃の危険は著しく低減されます。

既定で、Windows Server 2003 上の Internet Explorer は、この脆弱性を緩和する「セキュリティ強化の構成」と呼ばれる制限されたモードで実行されます。Internet Explorer のセキュリティ強化の構成に関する詳細情報については、このセキュリティ更新プログラムに関する「よく寄せられる質問」をご覧下さい。

次の製品はこの脆弱性による影響を受けません。

インターネットおよびローカルイントラネットゾーンの設定を「高」に設定し、インターネットおよびローカルイントラネットゾーンで ActiveX コントロールおよび Active スクリプティングを実行する前にダイアログを表示する

インターネット セキュリティ ゾーンの設定を変更し、ActiveX コントロールおよびアクティブ スクリプトが実行される前にダイアログが表示されるようにすると、この脆弱性に対する保護の手助けとなります。

これを行うためには、次のステップにしたがってください。

Web サイトを信頼される Web サイトのみに制限する

インターネットおよびローカル イントラネット ゾーンで ActiveX コントロールが実行される前にダイアログが表示されるように設定した後、信頼する Web サイトを Internet Explorer の [信頼済み] サイトに追加することができます。これにより、信頼されていない Web サイトからのこの攻撃から保護する手助けを行いながら、現在使用しているのとまったく同様に、信頼する Web サイトを引き続き使用することができます。マイクロソフトは信頼される Web サイトのみを [信頼済み] サイト ゾーンに追加することを推奨します。

これを行うためには、次のステップにしたがってください。

Outlook 2000 Service Pack 1 またはそれより前のバージョンを使用している場合、Outlook 電子メールセキュリティアップデートをインストールする

既定で、Outlook Express 6、Outlook 2002、および Outlook 2003 は、HTML 形式の電子メールを制限付きサイト ゾーンで開きます。また、Outlook 98 および Outlook 2000 も、Outlook 電子メール セキュリティ 更新プログラムがインストールされている場合、HTML 形式の電子メール メッセージが制限付きサイト ゾーンで開きます。

これらの製品のいずれかを使用しているお客様は、ユーザーが電子メール メッセージの悪質なリンクをクリックしない限り、この脆弱性の悪用を試みる電子メールによる攻撃の危険性が低減されます。

Outlook Express 5.5 SP2 を使用している場合、マイクロソフトセキュリティ情報MS04-018に含まれている更新プログラムをインストールするOutlook Express 5.5 Service Pack 2 は、MS04-018に含まれている更新プログラムがインストールされている場合、HTML 形式の電子メールメッセージが制限付きサイトゾーンで開く

これらの製品のいずれかを使用しているお客様は、ユーザーが電子メール メッセージの悪質なリンクをクリックしない限り、この脆弱性の悪用を試みる電子メールによる攻撃の危険性が低減されます。

Outlook 2002 以降、および Outlook Express 6 Service Pack 1 以降を使用している場合、電子メールメッセージをテキスト形式で表示するよう設定してください。これにより、HTML 形式の電子メールを経路とする攻撃からシステムを保護することができます。

Office XP Service Pack 1 以降を適用している Microsoft Outlook 2002 ユーザー、および Internet Explorer 6 Service Pack 1 を適用している Outlook Express 6 ユーザーは、デジタル署名されていないすべての電子メール メッセージまたは暗号化されていない電子メール メッセージを、テキスト形式のみで表示するよう設定できます。

デジタル署名されている電子メール メッセージおよび暗号化されている電子メール メッセージは、設定による影響は受けず、その元の形式で読み取ることができる場合があります。 Outlook 2002 のこの設定を有効にする方法に関する情報は、サポート技術情報 307594 で説明されています。

この設定を Outlook Express 6 で行う方法の詳細については、サポート技術情報 291387 をご覧ください。

回避策の影響 : テキスト形式で電子メールが表示されるように設定すると、画像、特別なフォント、アニメーションまたはそのほかのリッチ コンテンツは含まれなくなります。さらに、次の処理が実行されます。

Web ベースの攻撃シナリオでは、攻撃者がこの脆弱性を悪用するために使用する Web ページが含まれる Web サイトをホストすることが必要条件となります。攻撃者は、悪質な Web サイトにユーザーを強制的に訪問させることはできません。その代わり、攻撃者は通常、ユーザーが攻撃者のサイトへのリンクをクリックし、攻撃者の Web サイトを訪問するように誘導する可能性があります。 ユーザーがリンクをクリックすると、悪質な Web サイトで動作が行われ、Internet Explorer がドラッグ アンド ドロップの処理が開始する可能性があります。

攻撃者はこの脆弱性を悪用し、ユーザーのコンピュータ上の特定の場所に、悪質なコードを保存する可能性があります。 そしてユーザーがコンピュータを再起動したり、ログオフした後に再度ログインしたり、または攻撃者がローカルに保存したコードをユーザーが不注意に実行してしまった場合など、このコードが実行され、攻撃が起こる可能性があります。

攻撃者はこの脆弱性を悪用し、ユーザーと同じ特権を取得する可能性があります。システムに対する特権が少ないユーザーは、管理者特権で実行しているユーザーよりも危険にさらされる可能性が低減されます。

既定で、Outlook Express 6、Outlook 2002、および Outlook 2003 は、HTML 形式の電子メールを制限付きサイト ゾーンで開きます。また、Outlook 98 および Outlook 2000 は、Outlook 電子メール セキュリティ 更新プログラム がインストールされている場合、HTML 形式の電子メール メッセージが制限付きサイト ゾーンで開かれます。Outlook Express 5.5 Service Pack 2 は、MS04-018に含まれる更新プログラムがインストールされている場合、HTML 形式の電子メール メッセージが制限付きサイト ゾーンで開きます。制限付きサイト ゾーンはこの脆弱性を悪用する攻撃を受ける可能性を下げます。

次のすべての条件があてはまる場合、HTML 形式の電子メールによる攻撃の危険は著しく低減されます。

既定で、Windows Server 2003 上の Internet Explorer は、この脆弱性を緩和する「セキュリティ強化の構成」と呼ばれる制限されたモードで実行されます。Internet Explorer のセキュリティ強化の構成に関する詳細情報については、このセキュリティ更新プログラムに関する「よく寄せられる質問」をご覧下さい。

次の製品はこの脆弱性による影響を受けません。