公開日：2004/07/15　最終更新日：2004/07/15

JVNTA04-196A
Microsoft Windows Components および Outlook Express に複数の脆弱性

概要

Microsoft Windows Components および Outlook Express に複数の脆弱性が確認されています。

  • Windows シェルの脆弱性
  • HTML ヘルプの脆弱性
  • タスクスケジューラの脆弱性
  • IIS 4.0 の脆弱性
  • POSIX の脆弱性
  • Utility マネージャの脆弱性
  • Outlook Expressの脆弱性

    • 影響を受けるシステム

    • Microsoft Windows システム

    詳細情報

    想定される影響

    Windows シェルの脆弱性、HTML ヘルプの脆弱性およびタスクスケジューラの脆弱性
    - 遠隔から第三者が、Web ページや HTML 形式の電子メールなどを経由してログオンしているユーザの権限で任意のコードを実行する可能性があります。
    IIS 4.0 の脆弱性
    - 遠隔から第三者が任意のコードを実行する可能性があります。
    POSIX の脆弱性およびUtility マネージャの脆弱性
    - ローカルユーザがローカルシステム権限を取得する可能性があります。
    Outlook Expressの脆弱性
    - サービス運用妨害 (denial-of-service, DoS) 攻撃を受ける可能性があります。

    対策方法

    ベンダ情報

    ベンダ リンク
    富士通 TA04-196Aに対する富士通の情報
    富士通 TA04-196Aに対するSolaris OEの情報
    マイクロソフト Outlook Express 用の累積的なセキュリティ更新プログラム (823353) (MS04-018)
    マイクロソフト ユーティリティ マネージャの脆弱性により、コードが実行される (842526) (MS04-019)
    マイクロソフト POSIX の脆弱性により、コードが実行される (841872) (MS04-020)
    マイクロソフト Internet Information Server 4.0 のセキュリティ更新プログラム(841373) (MS04-021)
    マイクロソフト タスク スケジューラの脆弱性により、コードが実行される (841873) (MS04-022)
    マイクロソフト HTML ヘルプの脆弱性により、コードが実行される (840315) (MS04-023)
    マイクロソフト Windows シェルの脆弱性により、リモートでコードが実行される (839645) (MS04-024)

    参考情報

    1. US-CERT Vulnerability Note VU#106324
      Microsoft Windows contains a vulnerability in the way the Windows Shell launches applications
    2. US-CERT Vulnerability Note VU#187196
      Microsoft Windows fails to properly process showHelp URLs
    3. US-CERT Vulnerability Note VU#920060
      Microsoft Windows HTML Help component fails to properly validate input data
    4. US-CERT Vulnerability Note VU#228028
      Microsoft Windows Task Scheduler Buffer Overflow
    5. US-CERT Vulnerability Note VU#717748
      Microsoft Internet Information Server (IIS) 4.0 contains a buffer overflow in the redirect function
    6. US-CERT Vulnerability Note VU#647436
      Microsoft Windows contains a buffer overflow in the POSIX subsystem
    7. US-CERT Vulnerability Note VU#868580
      Microsoft Windows Utility Manager launches applications with system privileges
    8. US-CERT Vulnerability Note VU#869640
      Microsoft Outlook Express fails to properly validate malformed e-mail headers
    9. CIAC Bulletin O-178
      Vulnerability in Task Scheduler Could Allow Code Execution
    10. CIAC Bulletin O-179
      Microsoft Update for IIS 4.0 (841373)
    11. CIAC Bulletin O-180
      Microsoft Utility Manager Vulnerability
    12. CIAC Bulletin O-181
      Microsoft Vulnerability in POSIX Could Allow Code Execution
    13. CIAC Bulletin O-182
      Microsoft Vulnerability in HTML Help Could Allow Code Execution
    14. CIAC Bulletin O-183
      Microsoft Vulnerability in Windows Shell Could Allow Remote Code Execution
    15. ISS X-Force Database: outlook-malformed-email-header-dos (16585)
      Microsoft Outlook Express malformed email header denial of service
    16. ISS X-Force Database: win-utilitymanager-gain-privileges (16592)
      Microsoft Windows Utility Manager gain privileges
    17. ISS X-Force Database: win-posix-bo (16590)
      Microsoft Windows POSIX buffer overflow allows local attacker to gain privileges
    18. ISS X-Force Database: iis-redirect-bo (16578)
      Microsoft Internet Information Server (IIS) redirect buffer overflow
    19. ISS X-Force Database: win-taskscheduler-bo (16591)
      Microsoft Windows Task Scheduler buffer overflow
    20. ISS X-Force Database: ie-showhelp-directory-traversal (14105)
      Microsoft Internet Explorer showHelp directory traversal
    21. ISS X-Force Database: win-htmlhelp-execute-code (16586)
      Microsoft Windows HTML Help could allow execution of code
    22. ISS X-Force Database: ie-clsid-file-extension-spoofing (14964)
      Microsoft Internet Explorer file extension spoofing
    23. ISS X-Force Database: win-windowsshell-execute-code (16597)
      Microsoft Windows Windows Shell allows code execution
    24. IPA セキュリティセンター(IPA/ISEC)
      Windows タスクスケジューラの脆弱性 (MS04-022) について
    25. IPA セキュリティセンター(IPA/ISEC)
      Windows showHelp および HTMLヘルプの脆弱性（MS04-023）について
    26. IPA セキュリティセンター(IPA/ISEC)
      IIS 4.0 の重要な脆弱性（MS04-021）について
    27. @police
      タスク スケジューラの脆弱性により、コードが実行される問題について(MS04-022)
    28. @police
      HTMLヘルプの脆弱性により、コードが実行される問題について(MS04-023)
    29. @police
      Windows シェルの脆弱性により、リモートでコードが実行される問題について(MS04-024)
    30. @police
      Windowsの脆弱性（MS04-022）を攻撃するプログラムについて(7/20)

    JPCERT/CCからの補足情報

    JPCERT/CCによる脆弱性分析結果

    謝辞

    関連文書

    JPCERT 緊急報告
    JPCERT REPORT JPCERT-WR-2004-2801
    JPCERT/CC REPORT 2004-07-22
    CERT Advisory Technical Cyber Security Alert TA04-196A
    Multiple Vulnerabilities in Microsoft Windows Components and Outlook Express
    CPNI Advisory
    TRnotes
    CVE CAN-2003-1041
    VU#187196,XF14105
    CAN-2004-0201
    VU#920060,XF16586
    CAN-2004-0205
    VU#717748,XF16578
    CAN-2004-0210
    VU#647436,XF16590
    CAN-2004-0212
    VU#228028,XF16591
    CAN-2004-0213
    VU#868580,XF16592
    CAN-2004-0215
    VU#869640,XF16585
    CAN-2004-0420
    VU#106324,XF14964,XF16597
    JVN iPedia