Reportで配信されたセキュリティ情報のバックナンバーです。「更新日」に明記された時点での情報ですのでご注意ください。修正プログラムの適用作業を至急開始してください。URLを処理する方法に脆弱性があり、リモートで任意のコードが実行させられる危険性があります。攻撃者は、特別に細工したMHTML形式でエンコードされた文書へのリンク(mhtml://URL)をWebページなどに配置し、ユーザーにクリックさせるように誘導します。Expressにより、MHTML形式でエンコードされた文書が処理されます。このとき脆弱性が悪用され、文書内の不正なスクリプトが実行されます。ユーザーのコンピュータ上のファイルにアクセスし、ログオンしているユーザーの権限で任意のコードが実行される危険性があります。Expressをメール・クライアントとして利用していなくてもこの脆弱性の影響を受けますのでご注意ください。Expressがインストールされています。OSに対して、修正プログラムの適用が必要です。対象プラットフォーム修正プログラムを適用するには、以下の対象プラットフォームに示されているサービスパックの適用が必要になります。URLを処理する方法に脆弱性があります。MHTMLとは、本文内にHTMLコンテンツを含む電子メールを作成するために使用されるインターネット標準規格です。ReportもMHTML形式の電子メールでお届けしています。MHTMLでは、メール本文にテキスト・パートとHTMLパート、画像パートの3種類を定義し、それぞれエンコードを行い1つのメール・ファイルとします。ExpressなどのMHTMLに対応したメール・クライアントは、HTMLパートと画像パートをデコードしてHTML形式で(Webページ表示と同様に)メール本文を表示します。Expressなどでテキスト形式の表示に設定しているか、MHTMLに対応していないメール・クライアントの場合、テキスト・パートのみをデコードし、プレーン・テキストで表示を行います。この際、ほとんどのメール・クライアントは、HTMLパートと画像パートを別々にデコードし、添付ファイルとして扱います。URL(MHTML://)によるリンクを置き、ユーザーにクリックさせるように仕向けるか、MHTMLメール(HTML形式のメール)を送ってユーザーに開かせる必要があります。Explorerのマイ・コンピュータのセキュリティ・ゾーンで任意のコードが実行される危険性があります。この脆弱性は、昨今大量に発生している電子メールを悪用したワーム/ウイルスに悪用される危険性が高いものです。至急、修正プログラムの適用を開始してください。Expressなどのメール・クライアント・ソフトウェアにおいて、MHTML形式のメールをテキスト形式で表示するように設定し、安全が確認できた場合にのみHTML形式で表示するといった運用を心がけるようにしてください。Lab:HotFixテスティング・チームからのコメント修正プログラムは、UpdateEXPERTが管理対象とするすべての適用対象プラットフォームにおいて適用テストを通過しました。SE/Meにも対応しています。SE/Meに適用可能です。SP1)へのバージョンアップを行ったのち、MS04-013の修正プログラムを適用してください。SE/Meに対しては、緊急に位置付けられる修正プログラムのみを提供する、としています。SP2がインストールされるのは以下の環境です。SP3/SP4になります。Expressのバージョンが異なるため注意が必要です)。Meを除いてサポートしていません。SP2の環境では、MS04-013の修正プログラムの適用がサポートされていません。SP1へバージョンアップしてから適用してください。以下のファイルにパッチが適用されます。障害の発生が懸念される場合は、これらのファイルのバックアップを取ってください。2003はレジストリ・キーで確認してください)。以下のレジストリ・キーが作成されていることでも確認可能です。1修正プログラム手動で修正プログラムをインストールする場合は、以下のURLでダウロードを実行してください。UpdateからもMS04-013の全修正プログラムが適用できます。何らかの理由から、直ちに修正プログラムを適用できない場合には、以下に示す方法で問題を回避できます。この回避策は、脆弱性を根本的に解決するものではありません。MHTMLメール(HTML形式のメール)をテキスト形式で読み取るように設定します。この設定変更により、メール中の不正なリンクをクリックしない限り、この脆弱性を悪用したメールによる攻撃を回避できます。Expressの設定を変更してセキュリティを向上させる方法」を参照してください。1時間30分この表は、1コンソールのUpdateEXPERTで、今回の修正プログラムを適用するのにかかる時間を概算したものです。ネットワーク環境や適用するコンピュータの性能などによって適用時間は異なります。目安としてご利用ください。Reportは、UpdateEXPERTユーザー向けの情報を含んでいます。UpdateEXPERTは、管理者の負担を大幅に軽減するHotFix管理ツールです。UpdateEXPERTに関する詳細ならびにお問い合わせは、アップデートテクノロジー株式会社のホームページをご参照ください。Reportにご登録いただいておりますユーザー様にお送りしています。無断で複製・再配信などを行うことはできません。ついて、明示的又は黙示的な保証を行いません。本サービスの停止や欠陥、それらに起因して発生する損失や損害について、一切責任を負いません。