Windows HotFix Briefings
(2004年3月5日版)

―― 修正プログラム適用に関する問題点、不具合情報の隔週レポート ――

DA Lab Windowsセキュリティ
2004/03/05

このHotFix Briefingsでは、HotFixの公開後に明らかになった問題点、不具合などの情報を隔週でまとめてお届けします。
 
[追加情報]
「ユーザー情報を含むURLをパラメータに持つXMLHTTP呼び出しがエラーになる」に対処する修正プログラムの提供

情報の内容 問題点に対する修正プログラムの提供
情報ソース マイクロソフト
報告日 2004/2/23
MS Security# MS04-004
MSKB# 832894(脆弱性)
832414(不具合)
対象環境 Microsoft XML 2.5/2.6
/3.0 SP2、SP3、SP4p/4.0 SP2

 2004年2月20付けの記事で報告した不具合について、マイクロソフトは修正プログラムを公開し、適用対象環境を追加した。不具合は、MS04-004(Internet Explorer 用の累積的なセキュリティ修正プログラム)の修正プログラムを適用すると、ユーザー認証用の情報(ユーザー名とパスワード)を含むURLをパラメータに持つXMLHTTP呼び出しがシンタックス・エラーを発生するというものである。

 この不具合の影響は、Microsoft XML(MSXML)2.5/2.6/3.0/4.0に及ぶとされていたが、これまではMSXML 3.0向けの修正プログラムしか提供されていなかった。

 今回、これまでのMSXML 3.0向けに加え、新たにMSXML 2.5/2.6/4.0向けの修正プログラムが公開された。ただし、MSXML 4.0向けは、MSXML 4.0 SP2のみしか提供されていないので注意が必要だ。MSXML 4.0 SP未適用を利用している場合は、MSMXL 4.0 SP2にバージョンアップした後に、この修正プログラムの適用が必要となる。MS04-004を適用したところWebアクセスでエラーが発生するようになったというなら、このMSXMLの不具合が影響している可能性がある。そのような場合は以下のリンクから必要な修正プログラムをダウンロードし、クライアント・コンピュータ側に適用してみるとよい。

■修正プログラムのダウンロード先

 ただしMSXMLはバージョンごとに異なる.DLLファイルとしてインストールされるため、1つのWindows環境に複数バージョンのMSXMLがインストールされる可能性がある。MSXMLパーサーのバージョン一覧と、その確認方法については以下のサポート技術情報を参照のこと。

■関連リンク

■関連記事

 
[不具合情報]
WebページのボタンをクリックするとIEが異常終了する

不具合の内容 異常終了
情報ソース マイクロソフト
報告日 2004/2/25
MS Security#
MSKB# 824150(不具合)
対象環境 IE 6/IE 6 SP1

 マイクロソフトは、Webページのボタンをクリックすると、IE 6がMshtml.dll(HTML Viewer)内でエラーを発生し、異常終了する不具合があることを公表した。

 説明によれば、ボタン・クリックにより、WebページのHTMLコード内にあるSPAN要素が、ほかのSPAN要素に影響を与える場合に問題が発生するとしている。

 DA Labにおいて、上記サポート情報824150に記載のサンプル・コードを使って検証したところ、Windows NT 4.0 SP6a/Windows 2000 SP4/Windows XP SP1aの各環境でこの不具合が生じることを確認した。

 原稿執筆時点(2004年3月3日時点)で、この不具合に対する修正プログラムは提供されていない。しかしMshtml.dllを置き換えるIE向けの最新の修正プログラムであるMS04-004を適用したところ、上記サンプル・コードでは問題が生じなくなった。保障はないが、MS04-004の適用により、この問題は解消される可能性があるようだ。

 原因から考えて、問題が生じるのは特別なケースだと考えられるが、IEの異常終了という結果は重大である。商用サイト運営など、不特定多数のユーザーからアクセスされるサイトでは、この不具合の影響がないかどうか、Webサーバ側で何らかの対策を検討する必要があるだろう。

 ヘルプデスクへの問い合わせなど、クライアント側での対応が可能なら、MS04-004の適用を試す、問題が発生するページへのアクセスを避ける、ボタンをクリックしないなどの対策を講じる。

■関連リンク

 
[不具合情報]
MS03-004の修正プログラム適用でOutlook/Outlook Express/IEが異常終了する

不具合の内容 異常終了
情報ソース マイクロソフト
報告日 2004/2/25
MS Security# MS03-004
MSKB# 810847(脆弱性)
816506(不具合)
対象環境 IE 6 SP1

 マイクロソフトは、IE 6 SP1に対し、2003年2月に提供された古いIE向け累積的な修正プログラム(MS03-004)を適用すると、OutlookやOutlook Express、IEが異常終了する不具合があることを公表した。問題の原因はMshtml.dll(HTML Viewer)にあり、例えばOutlookやOutlook Expressで文字を入力したとき、クリップボードを利用して文字列を貼り付けたときなどに異常終了する可能性がある。

 マイクロソフトの説明によれば、この問題はバージョンが「6.0.2800.1173」未満のMshtml.dllにおいて発生するとされ、上記サポート技術情報では、問題解消用としてバージョン番号「6.0.2800.1173」のMshtml.dllを含んだ修正プログラムq816506.exeを提供している。この修正プログラムを適用すれば、Mshtml.dllを単独で更新することができる。

 公表されたMS03-004以外でも、「6.0.2800.1173」未満のMshtml.dllを含む修正プログラムを適用した場合にも同様の問題が生じる可能性がある。

 「6.0.2800.1173」以上のMshtml.dllを含む修正プログラムもすでに複数提供されている。前出のq816506.exeでなくても、これらを適用すれば問題を解消できる。Mshtml.dllのバージョン、不具合の有無の関係をまとめると以下のようになる。

修正プログラムのバージョン Mshtml.dllのバージョン 不具合の有無
MS03-004/810847 6.0.2800.1141 あり
MS03-015/813489 6.0.2800.1170 あり
MS03-020/818529 6.0.2800.1170 あり
MS03-032/822925 6.0.2800.1226 なし
MS03-040/828750 6.0.2800.1264 なし
MS03-048/824145 6.0.2800.1276 なし
MS04-004/832894 6.0.2800.1400 なし
修正プログラムとMshtml.dllの関係

■関連リンク

 
[不具合情報]
[ウィンドウとボタン]の設定によりIEが異常終了する

不具合の内容 異常終了
情報ソース マイクロソフト
報告日 2004/2/25
MS Security#
MSKB# 822350(不具合)
対象環境 Windows XP SP未適用、SP1、SP1a+IE 6 SP1

 マイクロソフトは、Windows XPのデスクトップのプロパティで[ウィンドウとボタン]のデザインを[Windows XPスタイル]に設定していると、IE 6 SP1がアクセス違反を起こして異常終了する不具合があることを公表した。

 この不具合に対処する修正プログラムは原稿執筆時点(2004年3月3日現在)で公開されていない。

 不具合の影響を避けるには、デスクトップを右クリックして表示されるメニューの[プロパティ]を実行し、表示される[画面のプロパティ]ダイアログの[デザイン]タブにある[ウィンドウとボタン]を[Windowsクラシック スタイル]に変更する。

[画面のプロパティ]ダイアログ
不具合を回避するには、デスクトップのプロパティから表示されるダイアログで「ウィンドウとボタン」のデザインを変更する。
  この設定を[Windows XPスタイル]から[Windows クラシック スタイル]に変更する。

■関連リンク

 
[不具合情報]
MS03-023の修正プログラム適用後にIE 6 SP1を適用するとエラーが発生する

不具合の内容 IE 6 SP1適用時にエラーが発生
情報ソース マイクロソフト
報告日 2004/2/24
MS Security# MS03-023
MSKB# 823559(脆弱性)
828031(不具合)
対象環境 Windows XP SP未適用+IE 6 SP1
Windows XP未適用+SRP1+IE 6 SP1

 マイクロソフトは、Windows XP SP未適用の環境にMS03-023(HTML コンバータのバッファ オーバーランにより、コードが実行される)の修正プログラムを適用した状態でIE 6 SP1を適用すると、インストール時にエラーが発生し、IE 6 SP1を正しくインストールできない不具合があることを公表した。

 この問題を回避してIE 6 SP1を適用するには、問題の原因となっているMS03-023をいったんアンインストールし、IE 6 SP1を適用してからMS03-023を再適用する。

 この不具合の原因について、マイクロソフトは公表していないが、MS03-023の修正プログラムをアンインストールすれば問題を回避できることから、MS03-023で置き換えられるHtml32.cnv(Microsoft HMTLコンバータ)またはMsconv97.dll(Microsoft Conversion Library)のいずれか(または両方)とIE 6 SP1の間で何らかの不整合が生じる結果と推察できる。これらのファイルは、MS03-023の単独のホットフィックスだけでなく、複数のセキュリティ・フィックスをまとめたWindows XP向けのSRP1(Security Rollup Package 1)にも含まれている。DA Labで評価したところ、Windows XP未適用環境ににSRP1を適用し、IE 6 SP1を適用すると、同様の不具合が生じた。この場合には、SRP1をいちどアンインストールし、IE 6 SP1適用後にSRP1を再適用する。

 なおWindows XP SP1/SP1aには、あらかじめIE 6 SP1がインストールされているため、この問題は生じない。

■関連リンク

 
[追加情報]
IEに存在する未修正の脆弱性情報

情報の内容 未修正のセキュリティ・ホール
情報ソース セキュリティ関連メーリング・リストなど
報告日 2004/2/19
MS Security#
MSKB#
対象環境 IE 5.01 SP未適用、SP1、SP2、SP3、SP4
IE5.5 SP未適用、SP1、SP2
IE 6 SP未適用、SP1

 セキュリティ関連のメーリング・リストにおいて、まだ修正プログラムが提供されていないIEの重大な脆弱性に関する報告がなされた。

  • CHMファイル(ヘルプ・ファイル)処理の脆弱性により、IEで任意のコードが可能になる(BugTraqの報告:Microsoft Internet Explorer Unspecified CHM File Processing Arbitrary Code Execution Vulnerability)

 この報告によれば、IEのヘルプ・ファイル(CHMファイル:コンパイル済みHTMLヘルプ・ファイル)処理部分に脆弱性があり、Webページを開くだけで、ユーザーが操作することなく、攻撃者の任意のプログラムが自動的にダウンロードされ、実行される危険があるという。レポートでは、以下のいずれかの方法でこの脆弱性の影響を回避できるとしている。ただし、これらはCHMファイルの利用を制限して一時的に脆弱性を回避する方法だ。

■CHMファイルの実行を無効化する
 エクスプローラの[ツール]−[フォルダ オプション]メニューで表示される[フォルダ オプション]ダイアログの[ファイルの種類]([ファイル タイプ])タブでCHMファイルを無効化する。

■レジストリで以下のキーの名前を変更する
 HKEY_CLASSES_ROOT\PROTOCOLS\Handler\ms-its

 
そのほかの不具合情報
 
 Windows HotFix Briefings


Windows Server Insider フォーラム 新着記事
@ITメールマガジン 新着情報やスタッフのコラムがメールで届きます(無料)

注目のテーマ

Windows Server Insider 記事ランキング

本日 月間