Explorer(IE)用の累積的な修正パッチ「MS04-038」を公開した。このほか10本(うち“緊急”が7本)の修正パッチが公開されている。5.01/5.5/6。悪意ある攻撃者からリモートでコードが実行される「CSSヒープメモリの破損の脆弱性」「クロスドメインの脆弱性」「インストールエンジンの脆弱性」「ドラッグアンドドロップの脆弱性」や、情報漏洩してしまう「アドレスバーのなりすまし」など全部で8つの脆弱性を修正する。リモートでコードが実行されてしまう脆弱性リモートでコードが実行される脆弱性は5つ。Sheets)ヒープメモリの破損の脆弱性は、IEのCSSに未チェックのバッファが存在することで、バッファオーバーランが発生してしまうというもの。悪質なWebページを作成することで、管理者権限のユーザーがそのページを含むWebサイトを訪問した場合にリモートで任意にコードを実行されてしまう可能性がある。クロスドメインの脆弱性は、別ドメインのウインドウが情報を共有しないようにする機能である、クロスドメインセキュリティモデルに関する脆弱性。この脆弱性を悪用すると、ローカルコンピュータゾーンでスクリプトを実行される可能性がある。インストールエンジンの脆弱性は、IEのインストールエンジンに未チェックのバッファが存在することで、バッファオーバーランが発生してしまうというもの。任意のコードがリモートで実行されるだけでなく、管理者権限の新規アカウントを作成される可能性もある。ドラッグアンドドロップ操作の脆弱性は、IEのダイナミックHTMLイベント中にドラッグアンドドロップ操作を実行した際に発生する脆弱性だ。これが悪用されると、ユーザーがリンクをクリックした際、ユーザーが知らないうちにPC上に攻撃プログラムなどのファイルが保存される可能性がある。この時、ダウンロードダイアログは表示されない。リモートでコードを実行される脆弱性にはこのほか、「画像タグのスクリプトによるファイルダウンロードの脆弱性」がある。この脆弱性は画像タグスクリプトの検証が原因で発生し、攻撃者によりユーザーのシステムに実行ファイルが保存される可能性があるという。情報を漏洩してしまう脆弱性また、アドレスバーのなりすましなどで情報を漏洩してしまう3つの脆弱性も修正される。そのうちの「2バイト文字セットを使用するシステムにおけるアドレスバーのなりすましの脆弱性」は、2バイト文字セットを使用するPCで、IEがURLの特定の文字を解析すると正規化エラーが発生するというもの。IEに表示されているWebページとは異なる不正なURLがアドレスバーに表示される可能性がある。このほかに、ActiveXコントロールなどIEの機能を拡張するプラグインからのナビゲーション処理に問題があり、IEに表示されているWebページとは異なる不正なURLがアドレスバーに表示される可能性がある「プラグインナビゲーションアドレスバーを使用したなりすましの脆弱性」や、キャッシュされたSSLコンテンツの処理が原因で発生する「SSLキャッシュの脆弱性」などが修正されている。MS04-038は、7月31日に公開されたIE用修正パッチ「MS04-025」に置き換わるもの。Updateやマイクロソフトのセキュリティ情報のWebサイトでダウンロードできる。