Internet Explorer 用の累積的な修正プログラム (822925)(MS03-032)(TechNet)

• 最大深刻度：緊急
• 対象：
  • Microsoft Internet Explorer 5.01
  • Microsoft Internet Explorer 5.5
  • Microsoft Internet Explorer 6.0
  • Microsoft Internet Explorer 6.0 for Windows Server 2003
• 対策：修正プログラムの適用
• 概要：
  1. BR549.DLL のバッファ オーバーラン:
     BR549.DLL ActiveX コントロールにバッファーオーバーフローの脆弱性が存在する。kill bitを設定し、このコントローラをIE上から使用できないようにした。
  2. マイ コンピュータ ゾーンでのブラウザのキャッシュのスクリプトの実行:
     クロスドメイン セキュリティモデル−異なるドメインのウィンドウが情報を共有しないようにする−に関連する脆弱性があり、マイコンピュータ ゾーンのセキュリティ コンテキストにてプログラムを実行可能となる問題。
  3. オブジェクト タグの脆弱性:
     input type タグを適切にレンダリングできないため Internet Explorer / Outlook Expressが異常終了する問題。MS03-020での修正が不十分であったため、再修正を実施。
• 注意事項：
  • MS03-020: Internet Explorer 用の累積的な修正プログラム (818529) の修正を含む
  • Windows XP 上で ASP.NET 1.0 の環境に修正プログラムを適用した場合、 「サーバー アプリケーションは現在使用できません」 または "Server Application Unavailable" が表示され Web アプリケーションが正常に実行できない場合がある。(2003/09/09追記)
  • セキュリティホールを塞ぎ切っていなかった模様。とりあえず以下の対策を採れば回避可能(2003/09/09追記)
    • インターネット・ゾーンのセキュリティレベルを「高」
    • 「ActiveXコントロールとプラグインの実行」を「無効」にする。
  • 以下の環境において管理者ログオンが必要。(2003/09/09追記)
    • Microsoft Windows 2000 および Microsoft Windows NT 4.0 で実行している Internet Explorer 5.01
    • Microsoft Windows 2000 で実行している Internet Explorer 5.5
• 関連：
  • 絵でみるセキュリティ情報 MS03-032 : Windows の重要な更新
  • MS03-032の概要
  • マイクロソフト セキュリティ情報 (MS03-032) ： よく寄せられる質問
  • CAN-2003-0530 / CAN-2003-0531 / CAN-2002-0532
  • SNS Advisory No.67：The Return of the Content-Disposition Vulnerability in IE(LAC)
  • SNS Advisory No.68：Internet Explorer Object Type Buffer Overflow in Double-Byte Character Set Environment(LAC)
  • IEに危険なセキュリティ・ホール，任意のコードを実行させられる(IT Pro)
  • Vendor Status Note JVNCA-2003-22 Microsoft Internet Explorer に複数の脆弱性(JVN)(2003/09/01追記)