～任意のファイルが読み取られる可能性、MSは早急のアップデートを呼びかけ

Outlook ExpressとIEの深刻な問題に対する累積的修正プログラム

■URL
http://www.microsoft.com/japan/technet/security/bulletin/ms03-014.asp
http://www.microsoft.com/japan/technet/security/bulletin/ms03-015.asp

　マイクロソフト株式会社は24日、Internet Explorer（IE）とOutlook Express（OE）に関する累積的修正プログラムを発表した。いずれも、マイクロソフトは深刻度“緊急”として、早期のパッチ導入を推奨している。

　今回発表された累積的修正プログラムでは、IEに関する4種類の脆弱性と、OEに関する1種類の脆弱性が新たに修正されている。

■Internet Explorerに関する4つの脆弱性

（1）URLMON.DLLのバッファオーバーランの脆弱性
（2）ファイルアップロードコントロールの脆弱性
（3）サードパーティのファイルのレンダリングに関する脆弱性
（4）モーダルダイアログを処理する方法に存在する脆弱性

　（1）は、IEがWebサーバーから受け取った情報の通信リクエストパラメータが適切にチェックされないために起こるというもの。悪意のある攻撃者がこの脆弱性を悪用すると、ユーザーのシステム上で任意のコードが実行される可能性がある。また、悪意のあるプログラムの埋め込まれたWebサイトを訪問するだけで、ユーザーが一切の操作を行なわなくても、この脆弱性が悪用される可能性があるので危険性が高い。

　（2）の脆弱性を攻撃者が悪用すると、自動的にファイル名をファイルアップロードコントロールに入力し、ユーザーのファイルをPCからWebサーバーに自動的にアップロードする可能性がある。

　（3）は、IEがサードパーティのファイルをレンダリングする際に、IEに渡されるパラメータが適切にチェックされないために起こる。攻撃者は、サードパーティのファイル形式のレンダリング中にスクリプトが挿入される不正なURLを作成し、ユーザーのセキュリティコンテキストでスクリプトが実行されるように操作する可能性があるという。

　（4）は、入力パラメータが適切にチェックされないために起こるというもの。攻撃者はこの脆弱性を利用し、挿入したスクリプトを悪用することによって、ユーザーのPC上に保存されたファイルへアクセスすることができる。また、この脆弱性でも（1）と同様に、悪意のあるプログラムが埋め込まれたWebサイトに訪問するだけで、脆弱性を悪用される可能性はあるが、攻撃者自身のWebサイトにユーザーを強制的に訪問させることはできない。

　これらの脆弱性は、IE 6/5.5/5.01が対象となっており、今回発表された累積的修正プログラムには、これら4種類の脆弱性の修正プログラムのほか、それぞれのバージョンに関する過去にリリースされたすべての修正プログラムを含んでいる。

■Outlook Expressの「MHTMLのURLハンドラ」に脆弱性

　OEで新たに発見された脆弱性は、OEの「MHTMLのURLハンドラ」に関するもの。WebサイトやHTMLメールに表示されている特定のリンクをクリックすると、悪意のあるスクリプトを制限の少ないローカルのセキュリティゾーンで実行されてしまう可能性がある。

　MHTMLは、HTMLコンテンツを送信するために使用されるMIME構造を定義するための規定。またURLハンドラは、アプリケーションをWebサイトやコマンドラインなどから起動できるようにする機能だ。今回問題が発覚した「MHTML://」では、OEが処理を行なう。

　「MHTML://」で指定したファイルでは、すべてHTMLファイルとしてレンダリングされる。このため「MHTML://」で、悪意のあるスクリプトが記述されたファイルを指定してしまうと、このスクリプトが実行されてしまう。

　対象となるOEは、OE 6/5.5。累積的修正プログラムには、「MHTMLのURLハンドラ」の脆弱性の修正プログラムのほか、過去に公開された「MS02-058：Outlook ExpressのS/MIME解析の未チェックのバッファによりシステムが侵害される」が含まれている。

　今回新たに発見されたIEとOEの脆弱性は、すべて累積的修正プログラムを適用することにより修正できる。累積的プログラムは、Windows UpdateおよびマイクロソフトのWebサイト上から入手可能だ。

(2003/4/24)

[Reported by otsu-j@impress.co.jp]