マイクロソフトは6月5日，Internet Explorer（IE）5.01／5.5／6 に見つかった2種類のセキュリティ・ホールを公開した。細工が施されたWebページやHTMLメールを閲覧すると，ウイルスなどの悪意があるプログラムを実行させられる恐れがある。対策はパッチを適用すること。深刻度が「緊急」の，とても危険なセキュリティ・ホールなので，早急にパッチを適用する必要がある。「セキュリティ情報」や「Windows Update」から適用できる。

　今回公開されたセキュリティ・ホールは以下の2種類。

（1）Objectタグの処理に関するセキュリティ・ホール
（2）ファイルのダウンロード・ダイアログに関するセキュリティ・ホール

　（1）は，HTMLファイル中に含まれるObjectタグをIEが適切に処理できないことが原因である。ある条件を満たすような引数がObjectタグに含まれていると，IEはバッファ・オーバーフローを引き起こす。その結果，IEのプロセスが異常終了させられたり，攻撃者が仕込んだ悪意があるプログラムを実行させられたりする恐れがある。

　（2）は，ファイルのダウンロード・ダイアログが次々と表示されるようなHTMLファイルを閲覧すると，ユーザーが何の指定をしなくても，HTMLファイル中で指定されたファイルが勝手にダウンロードされて，実行されてしまうセキュリティ・ホールである。5月10日以降，「Bugtraq」や「NTBugtraq」などのセキュリティ関連メーリング・リストにおいて既に報告されていた（関連記事）。

　いずれも深刻度が「緊急」である，大変危険なセキュリティ・ホールである。すぐに対策を施す必要がある。

　対策はパッチを適用すること。パッチは「セキュリティ情報」からダウンロードできるとともに，「Windows Update」からも適用できる。今回公開されたパッチは，今までに公開されたIE用のパッチをすべて含んだ累積パッチである。

　IE 6用のパッチはIE 6 SP1に，IE 5.5用のパッチはIE 5.5 SP2に，IE 5.01用のパッチはWindows 2000で稼働するIE 5.01 SP3にそれぞれ適用できる。IE6については，別途「IE6 SP1 for Windows Server 2003」用のパッチが用意されている。IE6 SP1 for Windows Server 2003にも今回のセキュリティ・ホールは存在するが，デフォルトではセキュアな設定になっている（具体的には，セキュリティ設定がインターネットゾーンで「高」に設定されている）ため，影響を受けない。このため，IE6 SP1 for Windows Server 2003に限り，深刻度は下から2番目の「警告（Moderate）」に設定されている。

　なお，過去に公開されたIEの累積パッチ「MS03-004」および「MS03-015」同様，今回のパッチを適用すると，HTMLヘルプ機能のいくつかが使用できなくなる。具体的には，window.showHelp() が機能しなくなる。「マイクロソフト サポート技術情報 811630」から最新の「HTML ヘルプ コントロール (英語版) 」をインストールすれば，パッチ適用後も HTMLヘルプ機能を使用できる。

◎参考資料
◆Internet Explorer 用の累積的な修正プログラム (818529) (MS03-020)
◆「MS03-020: Internet Explorer 用の累積的な修正プログラム (818529) 」に関する要約情報
◆Microsoft Security Bulletin MS03-020: Cumulative Patch for Internet Explorer (818529)

（勝村　幸博＝IT Pro）