【過去のWebブラウザ関連セキュリティ情報】
【98/10/30】暫定情報 「Netscape Communicator」の「JavaScript」に関する別のセキュリティ・バグ
CNET社の10月29日付け（現地時間）の記事「Another bug found in Navigator」が公開されています。（記事中のリンクの一部は、セキュリティ・バグのデモがいきなり起動されますので、安易にクリックしてはいけません。）
これは、日本語版の「CNET Briefs Tech News」でも翻訳されていない記事です。10月27日付けの関連（翻訳）記事「バグまみれのNavigator」（SSLアクセスに関する問題）という生々しい表題の記事の後に、新規に発見された「Navigator」のセキュリティ・バグですので、またかという感じです。
今回のバグの原因も、やはり「JavaScript」です。悪意のあるWebサイト・オペレーターや電子メールの送信者が、ユーザーのブラウザー・キャッシュやファイルのディレクトリー構造の情報を読み取ることが可能なようです。また、デモサイトも公開されています。
回避方法は、ブラウザの「JavaScript」機能を無効にすることです。2週間ほどで、Netscape社からパッチかパッチがあてられた「Navigator」がリリースされるようです。
まだ、［Netscape Security Notes］でも正式に報告されていませんので、今後フォローしていきます。
【98/10/30】「Netscape Communicator」のSSLアクセスに関するセキュリティ・バグ 公式見解
Netscape Communications社から、この「モバイル虎の穴」で【98/10/28】に報告した、「Netscape Communicator」のSSLアクセスに関するセキュリティ・バグ「No-Cache Meta-Tag Bug」が10月29日付け（現地時間）で公開されています。
対象は、「Windows 32ビット 版（Windows NT 4.0 と Windows 95/98版？）」の ローカル・メモリ・キャッシュの内部の取り扱いが変更された「Netscape Communicator 4.07 〜 4.5のバージョン」です。また、将来のリリースで修正されるようです。
このバグは、<META HTTP-EQUIV="Pragma"CONTENT="no-cache">という「HTML metaタグ」を有する「secure web pages （安全なWebページ）」に、影響を及ぼします。
多数の人々が同じPCを使う場合にのみ、この問題は発生します。もし、<META HTTP-EQUIV="Pragma"CONTENT="no-cache">という「HTML metaタグ」を有する「secure web pages （安全なWebページ）」にアクセスして、情報を入力した後、「Netscape Communicator」を再スタートしなければ、引き続き使用した別な人が、入力した情報を見てしまうかもしれません。回避方法は、「Netscape Communicator」を再スタートだけでOKです。
【98/10/28】暫定情報 「Netscape Communicator 4.5」のSSLアクセスに関するセキュリティ・バグ
CNET Briefs Tech Newsの10月27日付けの関連（翻訳）記事「バグまみれのNavigator」が公開されています。
この「モバイル虎の穴」で【98/10/19】に報告した、最新バージョンの「Netscape Communicator 4.5」に含まれる「Navigator 4.5」を使用して、SSL(セキュア・ソケット・レイヤー)を使ったサイトにアクセスし、それが一台のパソコンを複数の利用者で共有するケースだった場合、前の利用者のSSL通信が必要な程の重要な情報を見られてしまう可能性があるというものです。
まだ、［Netscape Security Notes］でも正式に報告されていませんので、今後フォローしていきます。
【98/10/25】IEの『Untrusted Scripted Paste 問題（Cuartango 問題）』に対する日本語版パッチ公開
マイクロソフト株式会社から、この「モバイル虎の穴」で【98/10/18】に報告した『Untrusted Scripted Paste 問題（Cuartango 問題）』に対する英語版のパッチに続き、日本語版のパッチが公開された「Internet Explorer 4.01 "Untrusted Scripted Paste" 問題の修正プログラムがご利用になれます」が公開されています。
対象等は、お知らせしている通りです。
今回は、［Microsoft Security Advisor Program 日本版］より、［IE セキュリティ情報］の方が先に公開されました。
【98/10/25】「Dotless IP Address問題（The WorldWideWait 問題）」に対するパッチが公開（英語版）
Microsoft社から、この「モバイル虎の穴」で【98/10/21】に報告した、新たな「Internet Explorer 4」のセキュリティー・バグである「Dotless IP Address問題（The WorldWideWait 問題）」に対するパッチが公開された「Microsoft Security Bulletin (MS98-016)」として「Update available for "Dotless IP Address" Issue in Microsoft Internet Explorer 4 」（英語バージョン用）が10月23日付けで公開されています。
対象は、「Windows NT 4.0 と Windows 95版の Internet Explorer 4.0，4.01 及び 4.01 SP1」と、「Internet Explorerが統合されている Windows 98」、「Windows 3.1 と Windows NT 3.51版の Internet Explorer 4.0及び 4.01」,
「unix版の Internet Explorer 4.01」です。ちなみに、「Internet Explorer 3」と、「Macintosh版の Internet Explorer 4」は、対象外です。
現在公開されているのは、英語版用のみであり、日本語版は公開待ちです。
ちなみに、閲覧者が、「イントラネット ゾーン」でのセキュリティーを意図的に甘く設定していた場合（セキュリティーレベル：低 「損害を与える可能性があるコンテンツの実行前に警告しません」に設定 等）は、危険ですが、デフォルトでは中（安全）「損害を与える可能性があるコンテンツの実行前に警告します」に設定されていますと、紹介済みです。
しかし、新たな情報が付加されています。それは、「インターネット ゾーン」とローカルな「イントラネット ゾーン」とでは、基本的にデフォルトでは中（安全）「損害を与える可能性があるコンテンツの実行前に警告します」に設定されていて同一ですが、1点相違点があるということです。具体的には「NTLM challenge response認証」によるログオンが、ローカルな「イントラネット ゾーン」だけ自動で行われます。
「インターネット ゾーン」とローカルな「イントラネット ゾーン」を同一の動きにする為には、「表示」メニューの「インターネット・オプション」を選択し、「セキュリティ」タブを選択します。「イントラネット ゾーン」を選択し、「カスタム」をクリックし、「設定」ボタンを押します。リストの中の「ユーザー認証」の「ログオン」の項目で、「use under User Identification | Logon」（原文のまま、「ユーザー名とパスワードを入力ログオン」のこと？）を選択し、「OKボタン」で反映します。
【98/10/21】新たな「IE 4」のゾーン誤認バグ 公開
WorldWideWait社から、新たな「Internet Explorer 4」のセキュリティー・バグである「The WorldWideWait bug - FAQ」が10月17日付けで公開されています。
対象は、「Internet Explorerが統合されている Windows 98」と、「Internet Explorer 4」です。
WebブラウザでWebサイトへアクセスする場合、通常はURLを指定してアクセスしますが、4バイトで「x.x.x.x」というように通常ドットで区切って表すIPアドレスを直接指定してアクセスすることも可能です。そのIPアドレスを、ある計算方法で連続した数値に置き換えることにより、インターネット上の「インターネット ゾーン」であるにも関わらず、「Internet Explorer 4」が社内向けである「イントラネット ゾーン」と誤認してしまうセキュリティー・バグを突いたものです。
閲覧者が、「イントラネット ゾーン」でのセキュリティーを意図的に甘く設定していた場合（セキュリティーレベル：低 「損害を与える可能性があるコンテンツの実行前に警告しません」に設定 等）、極端な話自分のパソコンのハードディスクを空っぽにされてしまうような危険な「Active Xコントロール」を、インターネット経由で誤って警告無しで実行してしまう可能性もあります。
ちなみに、「イントラネット ゾーン」でのセキュリティーレベルは、デフォルトでは中（安全）「損害を与える可能性があるコンテンツの実行前に警告します」に設定されています。
尚、CNET Briefs Tech Newsの10月20日付けの関連（翻訳）記事「セキュリティゾーンを突破してしまうIEのバグ」があります。
【98/10/20】追加情報 やはり「Netscape Communicator 4.5」正式版（英語版）は、「"Son of Cache-Cow" 問題」に対応済み
CNET Briefs Tech Newsの10月19日付けの関連（翻訳）記事「ネットスケープ、Communicator 4.5を出荷」があります。
取材内容ではやはり、JavaScriptが動くNetscapeブラウザのすべてのバージョンに影響を及ぼすセキュリティー・バグ「The Injection Bug」（「"Son of Cache-Cow" 問題」）へは、対応済みとされています。
【98/10/19】「"Son of Cache-Cow" 問題」に対応した？「Netscape Communicator 4.5」正式版（英語版）公開
Netscape Communications社から、Webブラウザの最新版「Netscape Communicator 4.5」の正式版（英語版）の概要である「Communicator 4.5 Release Notes」が10月16日付けで公開されています。また、FTPサイトで10月16日付けで公開され、ダウンロード可能になっています。
Windows 32bit版、Macintosh PPC版、UNIX版が公開されています。残念ながら、「Netscape Navigator」は同時公開されていません。
色んなニュース・サイトでは報じられていませんが、この「モバイル虎の穴」で【98/10/07】に報告した、「Brumleve Cache Bug」対応としてリリースされた「Netscape Communicator 4.07」も含む JavaScriptが動くNetscapeブラウザのすべてのバージョンに影響を及ぼすセキュリティー・バグ「The Injection Bug」（「"Son of Cache-Cow" 問題」）へは、対応済みなのでしょうか？
私が実験した範囲では、このセキュリティー・バグには、対応済みのようです。閲覧者のハード・ディスクのローカル・ディレクトリの構造やURLのキャッシュを、ローカルで取得した後、悪意のあるWebサイトへ情報を送ろうとした所？で、「JavaScript」の実行エラーが発生します。どうやら一安心です。しかし、Netscape Communications社からは、正式に対応状況は広報されていませんので、今後［Netscape Security Solutions］をウォッチする必要があります。
【98/10/18】IEの『Untrusted Scripted Paste 問題（Cuartango 問題）』に対するパッチ公開
Microsoft社から、この「モバイル虎の穴」で【98/10/16】に報告した、『Untrusted Scripted Paste 問題（Cuartango 問題）』に対するパッチが公開された「Microsoft Security Bulletin (MS98-015)」として「Update available for "Untrusted Scripted Paste" Issue in Microsoft Internet Explorer 4.01」（英語バージョン用）が10月16日付けで公開されています。
対象等は、お知らせしている通りです。
現在公開されているのは、英語版用のみであり、日本語版は公開待ちです。
【98/10/16】Untrusted Scripted Paste 問題（Cuartango 問題）の詳細公開
マイクロソフト株式会社から、この「モバイル虎の穴」で【98/10/13】に報告した、『Untrusted Scripted Paste 問題（Cuartango 問題）に関するお知らせ』の内容が「Microsoft Security Advisor」に追加されて、10月15日付けで公開されています。
先にお伝えした通り、Internet Explorer で悪意のある Web サイトを閲覧すると、パスやファイル名がわかっている場合、Script を使ってディスク上のファイルを読まれる可能性があるというものです。また、現在修正プログラムを至急開発中となっています。こうして、概略にしろ日本語で案内が出るようになっただけでも、大きな進歩です。（あれ、あまり誉め言葉になっていないかな？ (^^;) ）
詳細な内容は、「Untrusted Scripted Paste Security Issue in Internet Explorer 4.01」（英語情報）にあります。
対象は、「Windows NT 4.0 と Windows 95版の Internet Explorer 4.01 及び 4.01 SP1」と、「Internet Explorerが統合されている Windows 98」、「Windows 3.1 と Windows NT 3.51版の Internet Explorer 4.01」です。ちなみに、「Internet Explorer 4」以前は、対象外です。
また、Internet Explorerをデフォルト・ブラウザーとして使用していなくても、Internet Explorerによって供給されるHTML機能を使用するソフトウェア（Outlook ExpressやOutlook 98等）にも影響を及ぼします。
そして、Macintosh や UNIX版の Internet Explorerは、どのバージョンでも影響を受けません。
また、この問題に対応するhotfixは，来週早くまでにダウンロード可能（英語版）と予告されています。
回避方法は、「インターネット ゾーン」で、アクティブ・スクリプト（「VBScript」および JavaScript の機能が全て実装されている「JScript」）を「無効にする」ことです。
具体的には、「表示」メニューの「インターネット・オプション」を選択し、「セキュリティ」タブを選択します。「インターネット ゾーン」を選択し、「カスタム」をクリックし、「設定」ボタンを押します。リストの中の「アクティブ・スクリプト」の項目で、「無効にする」を選択し、「OKボタン」で反映します。また、「制限付きサイトゾー
ン」にも同じ設定をします。
尚、CNET Briefs Tech Newsの10月13日付けの関連翻訳記事『またIEにユーザーのハードディスクを暴露するバグ』があります。
【98/10/13】「Internet Explorer 4」の「Cuartango（クアルタンゴ） security Hole」公開
フアン・カルロス・ガルシア・クアルタンゴ氏から、悪意のあるWebサイト運営者のページを訪れると、（もしファイル名が知られていれば）閲覧者のコンピュータの任意のファイルが、悪意があるスクリプトによりWebサイトに送られてしまうというセキュリティー・バグのデモを行う「Cuartango security Hole」が公開されています。
対象は、「Microsoft Internet Explorer 4」と、「Microsoft Internet Explorer 5 Preview版」です。但し、「Microsoft Internet Explorer 4」以前は、対象外のようです。
また、この問題に対応するhotfixは，数日でリリースされる？ようです。
影響は、悪意のあるWebサイト運営者のページを訪れると、（もしファイル名が知られていれば）閲覧者のコンピュータの任意のファイルが、悪意があるスクリプトによりWebサイトに送られてしまうということと、クリップボードのコンテンツも、Webサイトに送られてしまうということです。パソコン上のファイル名は、決まりきったインストールのままですと、誰にでも分かりますので、このセキュリティー・バグは非常に危険です。
回避方法は、JavaScript機能をオフに設定することです。
尚、WIRED NEWSの10月9日付けの関連翻訳記事「IEに次々とセキュリティー・ホール」があります。
P.S. 現在出張中ですが、ホテルが高層でどうしても部屋からPHS経由でftpできないので、ホテルの廊下からこの文章のアップロード中です。どうみても怪しい姿ですよね。(^^;)
【98/10/12】Webブラウザの「JavaScript」機能は、全て停止？
Netscape Communications社から、この「モバイル虎の穴」で【98/10/07】に報告した、「Brumleve Cache Bug」対応としてリリースされた「Netscape Communicator 4.07」も含む JavaScriptが動くNetscapeブラウザのすべてのバージョンに影響を及ぼすセキュリティー・バグの情報「The Injection Bug」が、10月7日付けで公開されています。
しかし、この「Brumleve Cache Bug」以外にも、Netscapeブラウザで「JavaScript」に起因する新規のセキュリティー・バグが見つかっています。また、Netscapeブラウザだけかと思っていたら、「Internet Explorer」にも「JavaScript」に起因するセキュリティー・バグが新規に見つかった模様です。
いずれにしても、しばらくWebブラウザの「JavaScript」機能を、全て停止ですね。今日は、徹夜明けで頭がボ〜っとしています(^^;)ので、詳しい情報が集まり次第、フォローしていきます。
【98/10/07】「Brumleve Cache Bug」対応「Netscape Communicator 4.07」無力化
プログラマーのDan Brumleve氏から、「Brumleve Cache Bug」対応としてリリースされた「Netscape Communicator 4.07」も含む JavaScriptが動くNetscapeブラウザのすべてのバージョンに影響を及ぼすセキュリティー・バグの情報 「"Son of Cache-Cow" Netscape Vulnerability」 が10月5日付けで公開されています。（リンクを張っていませんが、安易にページ内リンクをクリックすると、色々な情報を引き出されてしまいます。）
引き続き、「Internet Explorer」は、対象外のようです。
サンプルとして、4つが公開されています。
■「cookie-monster.cgi」: 随意の場所からクッキーを盗む
■「file-list.cgi 」 : 対象者のハード・ディスクのローカル・ディレクトリのコンテンツ（構造）を盗む
■「file-list-old.cgi 」: Netscape 4.01でも動作するように手をいれたfile-list.cgiの別バージョン
■「cache-cow-4.07.cgi」: 「Netscape Communicator 4.07」（英語版）でも動作するようにした
お馴染みのURLのキャッシュを盗む「cache-cow」
私は、「Netscape Navigator 4.07」に早速アップグレード済みでしたが、見事に情報を引き出されました。Netscape Communications社の、面目丸潰れです。
回避方法は、前回とは異なり、JavaScript機能をオフに設定するしかありません。（もしくは、「Internet Explorer」を使用する？）
【98/10/08】追加情報 「Brumleve Cache Bug」対応「Netscape Communicator 4.07」無力化
CNET社の10月7日付けの関連（翻訳）記事「Navigatorにまたバグ」があります。
【98/10/06】「Brumleve Cache Bug」対応「Netscape Communicator 4.07」（英語版） 公開
Netscape Communications社から、この「モバイル虎の穴」で【98/09/29】に報告した、悪意のあるWebサイト運営者のページを訪れると、自分がどのサイトを見てきたかというURLのキャッシュを盗み見されてしまうというセキュリティー・バグである「Brumleve Cache Bug」に対応した「Netscape Communicator 4.07」（英語版）が「FTPサイト」で10月3日付けで公開されています。
セキュリティー・バグ対象は、JavaScriptが動く全てのバージョン・全てのプラットフォーム版の「Netscape navigator」と、「Netscape Communicator」ですが、Mac版，UNIX版，Windows版が公開されています。
詳しい報告がアップされる［Netscape Security Solutions］に注目です。
尚、CNET社の10月5日付けの関連翻訳記事「Netscape Navigator 4.07でバグ解消」があります。
【98/09/29】全てのプラットフォームに影響する「Netscape ブラウザ」のバグ公開
プログラマーのDan Brumleve氏から、悪意のあるWebサイト運営者のページを訪れると、自分がどのサイトを見てきたかというURLのキャッシュを盗み見されてしまうというセキュリティー・バグのデモを行う「Cache-Cow Strikes!」が公開されています。（安易にページ内リンクをクリックすると、URLのキャッシュを盗み見されてしまいます。）
対象は、JavaScriptが動く全てのバージョン・全てのプラットフォーム版の「Netscape navigator」と、「Netscape Communicator」です。また、「Netscape Communicator」に含まれるメールクライアント「Messenger」を利用している場合、Webペースのメールを送りつけられて、URLのキャッシュを盗み見されてしまう可能性もあります。 そして、URLにパスワード等を埋め込んで訪問者管理を行うWebサイトを訪問した後に、盗み見されると単なるプライバシーの問題以上のインパクトがあります。
但し、「Internet Explorer」は、対象外のようです。
また、この問題に対応する「バージョン4.07」が近々（今週中？）リリースされるようです。
回避方法は、JavaScript機能をオフに設定することか、Webブラウザのキャッシュサイズを「Preferences」の中で０に設定することですが、あんまりです。
尚、CNET社の9月28日付けの関連翻訳記事「閲覧履歴を暴露するNavigatorのバグ」があります。
【98/09/27】Mac版の「Outlook Express」のバグ公開
Microsoft社から、「Outlook Express for Macintosh」の「Security Issues」として「The Outlook Express Updater for 4.02 now available for download」（英語バージョン用）が9月23日付けの更新で公開されています。
対象は、「Outlook Express for Macintosh」の「Outlook Express 4.0 」と、「Outlook Express 4.01 (297よりも前のもの)」です。また、「Outlook Express 4.01 (297)」は、対象外です。
到着メールに対して受信ボックス以外にメールを移動させる「メールの自動振り分け機能」を設定していて、なお且つパソコンのハードディスク容量が不足している場合に、移動対象となるメールが消えることがあるというものです。しかし、「メールの自動振り分け機能」を使用していなければ問題ないようです。
この問題に対する「Outlook Express」を 4.02化する「Updater（パッチ）」や、対処済み版「Internet Explorer 4.01 for Macintosh」が、公開されています。日本語版は含まれていません。
また、パッチを適用することができない利用者（日本語版利用者を含む）は、「メールの自動振り分け機能」を無効にすることによって、この問題を回避可能と思われます。
ちなみに、この「モバイル虎の穴」で【98/07/29】に報告した、「Outlook Express の非常に長いファイル名（200文字以上）の添付ファイル付きのメール問題」にも対応しています。（日本語版未リリース）
尚、CNET社の9月24日付けの関連翻訳記事「MacのOutlook Expressにバグ」があります。
【98/09/18】速報！ Internet Explorerの「Cross Frame Navigate」問題パッチ公開（日本語対応版）
マイクロソフト株式会社から、この「モバイル虎の穴」で【98/09/06】に報告した、Internet Explorerの「Cross Frame Navigate」問題によるセキュリティーホールの日本語対応パッチ「Internet Explorer の Cross Frame Navigate 問題の修正プログラムがご利用になれます」が、9月18日付けで公開されています。
問題の内容に関する「Cross Frame Navigate 問題の詳細」という簡単(^^;)な解説もあります。IEを標準のブラウザに設定していなくとも、IEの HTML 機能を利用するソフトウェア（Outlook Express等）を利用している場合は、修正プログラムをインストールすることが推奨されています。
「Internet Explorer 3」は、今回対応パッチが無い為に、「Internet Explorer 4.01」にアップグレードする必要があります。（Macintosh版の「Internet Explorer 3」は影響無し。）「Internet Explorer 4.x」を普及させたい Microsoft社の、究極？の作戦ですね。
【98/09/16】『自称』BackOrifice除去ソフト「BoSniffer」や、「NetBus」に注意
NTSecurity.netから、この「モバイル虎の穴」で【98/08/07】に報告した、遠隔地のパソコンを乗っ取るプログラム"BackOrifice（バック・オリフィス，通称：BO）"問題の続報「BoSniffer is Really a Trojan」が、8月31日付けで公開されています。
現在、「"BackOrifice（バック・オリフィス，通称：BO）"伝染に伴う治療用」として広く配送されているプログラムである「BoSniffer.zip」は、実は「BO server」そのものだったとのことです。（ここで言う「BO server」とは、乗っ取られるパソコン側に不当にインストールされる機能です。）また、「BoSniffer.zip」とは違った名称でバラ撒かれている可能性もあります。
全く、激しい話です。
また、ISSが公開した「ISS Security Alert Advisory」の「Cult of the Dead Cow Back Orifice Backdoor」（紹介済み）の続報として、「Windows Backdoors Update」が、9月10日付けで公開されています。
これによると、対象は、Windows 95、Windows 98のみであり、Windows NTは影響を受けなかった"BackOrifice（通称：BO）"に加え、Windows NTも影響を受ける「NetBus」（"BackOrifice"と同等の機能？）と呼ばれるプログラムがインターネットで入手可能になっているようです。
"BackOrifice（通称：BO）"の対策は、レジストリの「HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices」に、自分が意図的にインストールしていないサービスが無いか？を探し、regedit（c：\windows\regedit.exe）で、不要なものを取り除きます（紹介済み）。また、UDPポートの「31337」を使用して情報の受け渡しをする為、UDPポートの利用状況を監視します。
もし、『netstat -an | find "UDP"』というコマンドを入力して、『UDP 0.0.0.0:31337 *:*』のような結果が表示されれば、ポート31337でUDPサービスが使用されていることを、あらわしています。（必ずしも「31337」であるわけでは、ないようですが．．．）
"BackOrifice（通称：BO）"に関する検出や除去に関するより詳しい情報は、「The Back Orifice "Backdoor" Program」にあります。
一方、「NetBus」は、TCPポートの「12345」と「12346」を使用して情報の受け渡しをする為、TCPポートの利用状況を監視します。
『netstat -an | find "12345"』というコマンドを入力しても発見出来ますし、「telnet」クライアントで、「localhost」にポート12345で接続して、'NetBus 1.53' や 'NetBus 1.60 x'とのプロンプトが出れば、「NetBus」が不当に仕掛けられています。除去方法は、「NetBus 1.5x removal」と、「NetBus 1.6 removal」にあります。
尚、この"BackOrifice（通称：BO）"を作ったグループ（原文：A hacker group）『Cult of the Dead Cow（カルト・オブ・ザ・デッド・カウ：通称 cDc）』は、「Back Orifice Tシャツ」なんか作って喜んでるんで、イヤになっちゃいますね。
【98/09/14】「Netscape Communicator 4.5 PR2」（英語版）公開
Netscape Communications社から、この「モバイル虎の穴」で【98/07/29】に報告した、長いファイル名（200文字以上）の添付ファイル付きのメールに関するセキュリティーホール「長いファイル名のメールに対するセキュリティ上の弱点」に明らかに対応した英語版の「Communicator 4.5 Preview Release 2（Windows 95、Windows 98、Windows NT版）」及び Mac版がFTPサイトで、9月11日付けで公開されています。
しかし、その一方で、「Netscape Communicator 4.5 Preview Release 1（Windows 95、Windows 98、Windows NT版）」の日本語版が、FTPサイトで、9月11日付けで追加公開されています。
ちなみに、7月27日付けの「長いファイル名のメールに対するセキュリティ上の弱点」では、「Communicator 4.5 Preview Release 2（Windows 95、Windows 98、Windows NT版）」でセキュリティーホールに対応と読めますが、8月14日に更新されている英語情報の「Long Filename Mail Vulnerability」では、「Communicator 4.06」と、新版の「Netscape Communicator 4.5 Preview Release 1」（原文：new version of Communicator 4.5 Preview Release 1 ）は、対応済みとなっています。さすがに、セキュリティーホールを含む日本語版は、さすがにリリースしないでしょう(^^;)から、たぶん今回公開された「Netscape Communicator 4.5 Preview Release 1（Windows 95、Windows 98、Windows NT版）」の日本語版は、対応済みと思われます。
【98/09/10】「Netscape Communicator 4.06」日本語対応版公開
Netscape Communications社から、この「モバイル虎の穴」で【98/08/27】に「Netscape Communicator 4.06」日本語対応版は9月上旬にリリース予定と、報告した通り、「インターネットのリーディング・ブラウザの最新版、Netscape Communicator 4.06」がFTPサイトで、公開されています。
長いファイル名（200文字以上）の添付ファイル付きのメールに関するセキュリティーホールの対応「Long Filename Mail Vulnerability」と、Javaに関するセキュリティ・ホールの対応「ClassLoader Java Vulnerability」も、含んでいます。
しかし、長いファイル名（200文字以上）の添付ファイル付きのメールに関するセキュリティーホールは7月27日付けで公開され、「Netscape Communicator 4.5 Preview Release 1（Windows 95、Windows 98、Windows NT版）」も対象ですが、問題に対応した「Communicator 4.5 Preview Release 2」は、なかなかリリースされませんね。
【98/09/06】Internet Explorerの「Cross Frame Navigate」問題によるセキュリティーホール公開
Microsoft社から、セキュリティ関連の警告レポート「Microsoft Security Bulletin (MS98-013)」「Fix available for Internet Explorer Cross Frame Navigate Vulnerability」が9月4日付けで公開されています。
対象は、以下のように広範なInternet Explorerです。
○Windows NT 4.0、Windows 95版 「Internet Explorer 4.0、4.01 、4.01 SP1」
○Windows 98に統合されている 「Internet Explorer (version 4.01 SP1) 」
○Windows 3.1、 Windows NT 3.51 版「Internet Explorer 4.0 and 4.01」
○Macintosh 版 「Internet Explorer 4.0 and 4.01」
○Macintosh 版以外の 「Internet Explorer 3.x」
また、Internet Explorer により提供されるHTML機能を利用するソフトも影響を受ける為、Internet Explorer を、自分のコンピュータで標準のブラウザとして使用していなくとも、パッチを適用するようにとされています。
Internet Explorerのセキュリティのカードをかいくぐって、悪意があるWebサイトオペレータが、あなたのコンピュータのローカルのファイルを読み出す可能性があるとのことです。
この問題に対する「Internet Explorer 4」の英語版のhotfixes（パッチ）は、「Fix available for Internet Explorer Cross Frame Vulnerability」で、公開されています。
この問題に対する「Windows 98」の英語版のhotfixes（パッチ）は、「Microsoft Windows Update」で、公開されています。
この問題に対する「Internet Explorer 3」の対応は、最新版の「Internet Explorer 4」にアップグレードし、パッチを適用することのようです。(^^;)
尚、Microsoft Knowledge Base (KB) article Q168485「Fix available for Internet Explorer Cross Frame Vulnerability」（英語情報、IEのみ閲覧可能）があります。
追加情報【98/09/09】：CNET Briefs Tech Newsの9月8日付けの関連翻訳記事「IEのセキュリティー・ホールにパッチ」と、ZDNetの9月7日付けの関連翻訳記事「IEに新たなバグ。MSが公表とともにパッチ用意」と、WIRED NEWSの9月8日付けの関連翻訳記事「マイクロソフト、IEのバグを修正」が出ています。
【98/08/28】メールが消えるバグを解消した「Becky! Internet Mail」新版登場
窓の杜から、メールが消えるバグを解消した「Becky! Internet Mail」v1.24.14とv1.24.15をリリースしたという「Becky! Internet Mail」マイナーバージョンアップが8月25日付けで公開されています。
「Becky! Internet Mail」は、私も愛用しているメーラーですが、v1.24.xでは、ドラッグ&ドロップによるアカウント間のメールの移動を行った直後に「巡回チェック」を実行すると、移動先アカウントの「受信箱」メールが全て消えてしまう致命的なバグがあり、そのバグを修正するマイナーバージョンアップのようです。
ビックリして早速、私も最新版に入れ替えましたが、開発元の「有限会社リムアーツ」のWebページでは、特別広報されていません。なぜ？
【98/08/27】「Netscape Communicator 4.06」日本語対応版は9月上旬にリリース予定
Netscape Communications社から、この「モバイル虎の穴」で【98/08/15】に報告した「Netscape Communicator 4.06」が、電子メール攻撃に対する修正、新しい Smart Browsing 機能、Java 開発者向けのJDK1.1 のサポートを含んだ新しいメンテナンス・リリースと説明する翻訳文「インターネットのリーディング・ブラウザの最新版、Netscape Communicator 4.06 の提供を開始」が公開されています。
また、日本語対応版は1998年9月上旬にリリース予定と、初めて明言されています。
【98/08/24】IEのJScriptによるセキュリティーホールに関する日本語の情報登場
マイクロソフト株式会社から、この「モバイル虎の穴」で【98/08/19】に報告した、IEのJScriptによるセキュリティーホールに関する日本語の情報「Microsoft Internet Explorer 4 の 'Window.External' JScript 問題の修正プログラムがご利用になれます」が8月21日付けで公開されています。
でも、このページには同じく対象の「Windows 98」に関しては何も述べられていません。日本語版の修正プログラムが出来たら、「Windows 98」の'Window.External' JScript 問題の対応も分かりやすい所で広報をお願いします。
尚、話は変わりますが、CNET社の8月17日付けの関連翻訳記事に、ある特定の条件でコンピュータのカレンダーが狂ってしまうという「Win98に初めてのバグ」があります。それじゃ、今回の「Windows 98」の'Window.External' JScript 問題が、2つ目のバグかな？ (^^;)
【98/08/20】スクープ！ 「Netscape Communicator 4.06」は、やはりバグ対応バージョン
Netscape Communications社から、この「モバイル虎の穴」で【98/08/15】に報告した「Netscape Communicator 4.06」（英語版）が、【98/07/29】に報告した、長いファイル名（200文字以上）の添付ファイル付きのメールに関するセキュリティーホールの対応も含むと明示されているSecurity Update「Long Filename Mail Vulnerability」が8月14日付けで公開されています。
またこの「Netscape Communicator 4.06」は、この「モバイル虎の穴」で【98/07/20】に報告した、Javaに関するセキュリティ・ホールの対応も含むと明示されているSecurity Update「ClassLoader Java Vulnerability」が8月14日付けで公開されています。
尚、話は変わりますが、昨日報告したInternet ExplorerのJScriptによるセキュリティーホールに関する、CNET社の8月19日付けの関連翻訳記事「IEにバグ」があります。
【98/08/19】Internet ExplorerのJScriptによるセキュリティーホール公開（日本語版パッチあり）
Microsoft社から、セキュリティ関連の警告レポート「Microsoft Security Bulletin (MS98-011)」「Update available for "Window.External" JScript Vulnerability in Microsoft Internet Explorer 4 」が8月17日付けの更新で公開されています。
対象は、Windows 95版と Windows NT 4.0版の「Internet Explorer 4.0」，「Internet Explorer 4.01」，「Internet Explorer 4.01 SP1」と、Windows 98です。（IEを取り込んだOSですので当然なのですが、Windows 98だけOSそのものが対象というのは、何だか笑えますね）対象のIEが、内部的に使用する「JScript Scripting Engine version 3.1」に問題があります。
Windows 3.1版，Windows NT 3.51版，Macintosh版，UNIX (Solaris)版の「Internet Explorer 4」は、対象外です。また、「Internet Explorer 3.x」も対象外です。
とても長いストリング（記号列）をもつ「Window.External」関数が、IEを異常終了させます。また、そのような長いストリングは、悪意がある意図をもつ誰かによって意図的に作られなくては出来ません。そしてその際、熟練している攻撃者（残念ながら原文では、また「a skilled hacker」 と記載されています）は、コンピュータで任意のコード（悪意あるプログラム）を走らせることが可能とされています。しかし、あくまで、悪意があるスクリプトを含む意図的にデザインされたWebサイトを、その対象のIEでブラウズしなければ問題ありません。
この問題に対するWindows 95版，Windows NT版のhotfixes（パッチ）は、「Microsoft Scripting Engines Version 3.1b Download」で、公開されています。日本語版も含まれています。
Windows 98の英語版用hotfixes（パッチ）は、「Microsoft Windows Update」で、公開されているようです。クリックして、「製品更新」を開始し、要求された時に「はい」を選ぶと、このパッチが含まれる「Microsoft Windows Update」が、適用される？
ちなみに、私のNT環境では、「Windows Update は、Windows 98 のオンライン拡張機能です。このサイトに最も簡単にアクセスするには、[スタート] メニューの [Windows Update] アイコンをクリックします。Windows Update には、[スタート] メニューまたは [スタート] メニューの [設定] から直接アクセスできます。 」という記述が出てうまくアクセス出来ませんので、詳細不明です(^^;)。
また、パッチを適用することができない利用者は、「オプション」の「セキュリティ」の「制限付きサイトゾーン」および「インターネット」ゾーンで、「カスタム」を選択し「アクティブ スクリプト」を無効にすることによって、この問題を回避可能です。
尚、Microsoft Knowledge Base (KB) article Q191200「Update Available for Window.External JScript Security Issue」（英語情報、IEのみ閲覧可能）や、Microsoft Internet Explorer Security Bulletin「Fix available for "Window.External" JScript security vulnerability issue in Microsoft Internet Explorer 4」があります。
しかし、「Microsoft Windows Update」って、Windows 98に対する初のアップデートですがマルチメディア機能を改良するもので、決してバグ修正の「サービスパック」では無いって言ってたはずじゃ〜(^^;)
CNET社の8月18日付けの関連翻訳記事「米マイクロソフト、Windows 98のアップデートを配布開始」があります。
【98/08/17】電子メールソフトOutlook関連のパッチ公開（日本語版）
マイクロソフト株式会社から、この「モバイル虎の穴」で【98/07/29】に報告した、電子メールソフトの重大なセキュリティーホールに関連し、日本語版のhotfixes（パッチ）である「Outlook Express のファイル添付問題の修正プログラムがご利用になれます」が8月15日付けの最終更新で公開されています。但し、今回配布されているのは、Windows 98、Windows 95 および Windows NT 4.0対象のパッチのみです。
また、『Outlook 98』用の日本語版のhotfixes（パッチ）「Outlook 98 セキュリティ問題修正パッチ プログラム(日本語版)」も8月16日付けで公開されています。（こちらの方は、マイクロソフト株式会社のサイトのトップページからのリンクもあり）
この「モバイル虎の穴」で【98/08/14】に報告した、最初に発見された問題の別変種にも対応可能なようにパッチに対する修正方法を強化し、アップデートしたパッチであるかどうか？は、明言されていませんが、少なくとも今回公開されている『Outlook 98』の「OUTPTCH2.EXE」というパッチは、アップデートしたパッチと同一のモジュール名です。
【98/08/15】スクープ！ 「Netscape Communicator 4.06」（英語版） やっぱりお盆のリリースだっ！
Netscape Communications社から、この「モバイル虎の穴」で【98/07/29】に報告した、電子メールソフトの重大なセキュリティーホールの対応も含むと思われる、「Netscape Communicator 4.06」（英語版）が「FTPサイト」で8月15日付けで公開されています。
18：30頃から公開が順次開始され、20：30現在（現地時間 15日4:30）、Mac版，UNIX版，Windows版の順に公開されています。（セキュリティーホールの対象は、「Netscape Communicator 4.0〜4.05（Windows 3.1, Windows 95、Windows 98、Windows NT版）」と、「Netscape Communicator 4.5 Preview Release 1（Windows 95、Windows 98、Windows NT版）」です。）セキュリティーホール対応版と明言されていた「Communicator 4.5 Preview Release 2」は、現在リリースされていません。
詳しい報告がアップされる［Netscape Security Solutions］に注目です。
尚、この「モバイル虎の穴」で【97/08/17】に報告した、4.Xへバージョンアップ後初の「Netscape navigator」単体版公開のニュースも、他の一般ニュースサイトはお盆休みでしたので日本で一番速い報告となったようですが、何故か今回もお盆休みのリリースです。今度も一般ニュースサイトが休みですので、毎日更新中のこの「モバイル虎の穴」のスクープとなり嬉しいのですが、どうしてお盆休みなのか？ 謎は深まります。(^^;)
（現地では早朝なので、当然［BrowserWatch］からも、まだ報告されていません。）
えっ、ダウンロードして詳しい評価をしないのか？ですって．．．今は月例の日経マルチメディアのモバイル講座＆コラムの執筆でヒイヒイ言っている最中ですので、後回しにさせて下さい(^^;)
【98/08/14】電子メールソフトのパッチ再リリース及び、添付ファイル「Ie080898.exe」問題
Microsoft社から、この「モバイル虎の穴」で【98/07/29】に報告した、電子メールソフトの重大なセキュリティーホールに関連し、最初に発見された問題の別変種にも対応可能なようにパッチに対する修正方法を強化し、アップデートしたパッチを再リリースした「Updated Patches for Microsoft Outlook and Microsoft Outlook Express Security Vulnerabilities are Now Available」が8月11日付けの更新で公開されています。
再リリースされたhotfixes（パッチ）の内、Internet Explorerに含まれる『Outlook Express』用は、「Fix available for Outlook Express File Attachment issue」（英語版）、『Outlook 98』用は、「Updated Patch for Outlook 98 Security Issue」（英語版）です。
また、FAQである「Frequently asked questions regarding the recent e-mail client security issues」もあります。
ちなみに、マイクロソフト社製ソフトウェアを補修するという添付ファイル（「Ie080898.exe」）が付けられた偽の電子メールがインターネットに出回っているようです。（下記記事を参照） うっかりその「Ie080898.exe」（悪意のある「トロイの木馬」方式プログラム）を自分のマシンで実行させてしまうと、ブルガリアの様々なインターネット組織に多量の電子メールを送るもののようです。この「Ie080898.exe」に限らず、電子メールに添付される実行ファイルは、絶対に実行しないようにしましょう。
尚、ワイアード・ニュースの8月12日付けの関連翻訳記事「MSが電子メール対策を強化」があります。
【98/08/10】電子メールソフト「Eudora Pro」にも重大なセキュリティーホール
QUALCOMM社から、電子メールソフト「Eudora Pro」に関するセキュリティ関連の警告レポート「Eudora Pro Security Alert」が公開されています。
対象は、「Eudora Pro Email 4.0 for Windows」と「Eudora Pro Email 4.0.1 for Windows」です。最新のEudora Pro 4.1（「ベータ版入手可能」）、Eudora Light、4.0以前のEudora Proは対象外です。また、Mac版とWindows 3.1版も対象外です。
このWebページで【98/07/29】に報告した、Microsoftの『Outlook 98』、『Outlook Express』や、Netscape CommunicationsのCommunicatorに含まれる電子メールソフトが影響を受けた「ファイルの添付に使用するMIME形式のヘッダーの長さをチェックしないバグを悪用して、電子メールソフトにバッファ・オーバーフローを起こさせ、クラッシュもしくは、任意のコードを走らせるアタック」には、影響を受けなかった「Eudora Pro」ですが、今回は違った内容のセキュリティ・ホールです。
これは、対象の「Eudora Pro」のHTMLメール処理が可能な機能を悪用し、もしHTMLメール機能が有効な場合、メールの文中に添付ファイルや、悪意のあるWebページへの単純なリンクを埋め込んでおくだけで、任意の命令を実行させることも可能です。
この問題に対する「Eudora Pro Email 4.0 for Windows」と「Eudora Pro Email 4.0.1 for Windows」パッチ（英語版のみ）は、「Eudora Pro Email v4.0 Updaters」の「Eudora Pro for Windows 4.0 -> 4.0.2 Updater」です。
もしこのパッチを当てていない状態で、このセキュリティ・ホールを利用した攻撃を受けた際にも、利用者はあらかじめ「Eudora Pro」のオプションで「Microsoft viewer」を無効にすることによって攻撃の回避は可能です。 （具体的には、日本語版の場合 [ツール]の[オプション]の中の[メッセージの表示]の[メッセージウィンドウ]内の[マイクロソフトのビューワを使用]のチェックを外す。）
尚、CNET社の8月7日付けの関連翻訳記事「安全脅かす欠陥がEudoraで見つかる」や、ワイアード・ニュースの8月7日付けの関連翻訳記事「メールのリンクが悪意を誘う」があります。
【98/08/07】遠隔地のパソコンを乗っ取るプログラム"BackOrifice（バック・オリフィス）"問題
Microsoft社から、セキュリティ関連の警告レポート「Microsoft Market Bulletin (MS98-010)」「Information on the "BackOrifice" Program」が8月4日付けの更新で公開されています。
対象は、Windows 95、Windows 98のみであり、Windows NTは影響を受けません。
ハッカー・グループ『the Cult of the Dead Cow』が1日に発表した"BackOrifice（バック・オリフィス）"は、悪用された場合、他のパソコンをネットワーク経由で遠隔地から操作したり、中身を閲覧したりすることを、その所有者に知られることなく可能にします。ユーザーがキーボードでタイプする全てを読むことも可能です。
Microsoft社は、"BackOrifice（バック・オリフィス）"は、ユーザー自身が意図的にインストールしなければ組み込まれないから、安心だとレポートで説明していますが、この「モバイル虎の穴」で【98/07/29】に報告した、「ファイルの添付に使用するMIME形式のヘッダーの長さをチェックしないバグを悪用して、電子メールソフトにバッファ・オーバーフローを起こさせ、クラッシュもしくは、任意のコードを走らせるアタック」を利用すれば、任意の相手のパソコンにメールを送りつけるだけで、組み込み可能なはずという指摘もあります。
また、ネットワーク経由以外にも、ローカルな環境下でもフロッピー経由で仕掛けられる可能性がある為、注意が必要です。ちなみに、ISSが公開した「ISS Security Alert Advisory」の「Cult of the Dead Cow Back Orifice Backdoor」に、"BackOrifice（バック・オリフィス）"が自分のパソコンに仕掛けられていないかを、判断する方法が解説されています。レジストリの「HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices」に、自分が意図的にインストールしていないサービスが無いか？を探します。
尚、ワイアード・ニュースの8月6日付けの関連翻訳記事「米マイクロソフト社、『バック・オリフィス』の脅威を否定」や、7月29日付けの関連翻訳記事「『バック・オリフィス』は頭痛の種？」があります。
【98/07/29】電子メールソフトの重大なセキュリティーホール公開
Microsoft社から、セキュリティ関連の警告レポート「Microsoft Security Bulletin (MS98-008)」「Update Available For Long Filename Security Issue affecting Microsoft Outlook 98 and Microsoft Outlook Express 4.x」が7月27日付けの更新で公開されています。
対象は、「『Outlook 98』（Windows 95、Windows 98、Windows NT版）」、「Internet Explorer 4.0、4.01、Service Pack 1適用版の4.01に含まれる『Outlook Express』（Windows 95、Windows 98、Windows NT版）」、「Internet Explorer 4.01に含まれる『Outlook Express』（Solaris版）」、「Internet Explorer 4.01に含まれるOutlook Express（Macintosh版）」です。
マイクロソフト製品に限らず各電子メールソフトが、非常に長いファイル名（200文字以上）の添付ファイル付きのメールを取り込み、その添付ファイルを、オープンあるいは起動しようと試みる際に、電子メールソフトがクラッシュする可能性があります。また、熟練している攻撃者（残念ながら原文では「a skilled hacker」 と記載されています）は、コンピュータで任意のコード（悪意あるプログラム）を走らせることが可能とされています。
これは、ファイルの添付に使用するMIME形式のヘッダーの長さをチェックしない「考慮漏れ」を悪用して、電子メールソフトにバッファ・オーバーフローを起こさせ、クラッシュもしくは、任意のコードを走らせる手口のようです。また、添付ファイル＝悪意のあるプログラムではなく、添付ファイルは単なる画像ファイルやテキストの可能性があります。
この問題に対する『Outlook 98』（Windows 95、Windows 98、Windows NT版）のhotfixes（パッチ）は、「Drivers and Other Downloads」（英語情報、IEのみ閲覧可能）の「outpatch.exe」です。また、このパッチは、全言語版の『Outlook 98』（all language versions of Microsoft Outlook 98）に適用可能です。
次に、この問題に対するInternet Explorerに含まれる『Outlook Express』のhotfixes（パッチ）の提供状況説明は、「Fix available for Outlook Express File Attachment issue」にあります。ただ、現状では英語版のみです。
そして、この問題は、Netscape CommunicationsのCommunicatorに含まれる電子メールソフトも対象であり、Netscape Communications社から、「Long Filename Mail Vulnerability」が7月27日付けで公開されています。
対象は、「Netscape Communicator 4.0〜4.05（Windows 3.1, Windows 95、Windows 98、Windows NT版）」 と 「Netscape Communicator 4.5 Preview Release 1（Windows 95、Windows 98、Windows NT版）」です。また、「Communicator 4.0x」のパッチは2週間以内にリリースされ、問題に対応した「Communicator 4.5 Preview Release 2」もリリースされます。
もし、このセキュリティ・ホールを利用した攻撃を受けた際にも、単に非常に長いファイル名（200文字以上）の添付ファイル付きのメールを、受信する（メールサーバの自分のメールボックスから取り出す）だけで悪意のあるプログラムが動き出す訳ではなく、やはり、何らかのアクション（非常に単純過ぎて恐いのですが．．）が契機になります。その為、攻撃の回避は可能です。
（このあたりは、各ニュースサイトで微妙に見解が異なっていますね。）
『Outlook Express』に攻撃を受けた場合は、非常に長いファイル名（200文字以上）の添付ファイルを「クリック」せずに、「ファイルメニュー」から「Save Attachment」を選択してハードディスクに保存すれば、悪意のあるプログラムは動き出さないようです。また、ハードディスクに保存した添付ファイルは、閲覧してOKです。【「Update Available For Long Filename Security Issue affecting Microsoft Outlook 98 and Microsoft Outlook Express 4.x」の「Administrative workaround」の項を参照】
また、「Netscape Communicator」に攻撃を受けた場合は、非常に長いファイル名（200文字以上）の添付ファイル付きのメールを受け取り、そのメールを選択した後に、「ファイルメニュー」を操作しなければ、悪意のあるプログラムは動き出さないようです。また、添付ファイルはマウス右クリックの「Save Link As」コマンドを用いてハードディスクに保存し、オリジナルのメールを削除すればOKです。またその場合メールソフト終了時も、「ファイルメニュー」は操作してはならず、必ずウィンドウの右上の×ボタンを使用して終了する必要があります。尚、ハードディスクに保存した添付ファイルは、閲覧してOKです。【「Long Filename Mail Vulnerability」の「How to Avoid the Vulnerability」の項を参照】
（間違っているかもしれませんので、詳細は、各レポートをご覧下さい。）
理論的にこういうことが出来るよ！と報告されているレベルで、実際にアタック事例が出ている訳ではなさそうですので、あまり神経質になってメール使用を即停止する必要まではなく、こういうセキュリティ・ホールを利用した攻撃がありうると、まずは認識し注意する段階で良いのでは？と思います。しかし、今後ともこのセキュリティ・ホールに関する情報をウォッチし、速やかに適切なパッチを当てることや製品をレベルアップすることは必須です。また、見ず知らずの得体の知れない相手からのメールに注意することは、この件に限らず常識です。
尚、CNET社の7月28日付けの関連翻訳記事「電子メールソフトにセキュリティーホールが見つかる」や、ワイアード・ニュースの7月28日付けの関連翻訳記事「電子メールに危険なセキュリティ・ホール」、CIACの7月28日付けの警告レポート「I-077A: Mime Name Vulnerability in Outlook and Messenger」、日経インターネットテクノロジーの7月28日付けの関連記事「【速報】MicrosoftとNetscapeの電子メール・ソフトにセキュリティ・ホール」があります。
（追加情報【98/07/30】：CNET社の7月29日付けの関連翻訳記事「MSが公開したメールソフト用パッチに欠陥」が出ました。
【98/07/20】「Netscape Navigator 4.0x」のJavaに関するセキュリティ・ホール警告
プリンストン大学の「セキュアー・インターネット・プログラミング(SIP)」グループから、「Netscape Navigator 4.0x」のJavaプログラミング言語の一部のインプリメンテーションに問題がある為、ブラウザーのセキュリティー管理を無力化可能なセキュリティ・ホールを指摘する「Secure Internet Programming: History」が公開されています。最悪の結果として、ファイルの削除・変更、ウィルスでの汚染等、何でも可能になる問題のようです。
関連する製品は、「Netscape Navigator 4.0x」で、この「モバイル虎の穴」で【98/07/15】に報告した「Netscape Communicator 4.5 preview release 1」は対応済です。また、対象の「Netscape Navigator」の 4.01から4.05向けのパッチも、数週間以内リリース予定とのことです。
尚、CNET社の7月17日の関連（翻訳）記事「ナビゲーターにセキュリティーホール」があります。
【98/07/05】ナント！ハードディスクを強制フォーマットする新種ウイルス発見
トレンドマイクロ株式会社から、なぜかニュースサイトではあまり話題になっていませんが、パソコンのハードディスクを強制フォーマットする新種のファイル感染型ウイルスの報告ハードディスクの全データを消去する新種ウイルス「PE_CIH」発見！が6月25日付けで公開されています。感染機種は、Windows95/98の動作するマシンです。
このウイルスは、.EXE拡張子のついたPEファイル（Windows用32Bit実行ファイル）に上書きで感染するタイプのものです。.EXEファイルの中でも、NEタイプファイル (Windows用16Bit実行ファイル) や、DOS実行ファイル は対象外です。また、このウイルスはメモリ常駐するための技術にWindows 95 とWindows 98 で有効な「VxD プログラム技術」を使用しています。その為、Windows NT では、メモリに常駐できずウイルス感染の拡大や、データを破壊するといった活動は出来ないようです。
トレンドマイクロ製品では、現在発見されているCIHシリーズのすべての亜種が発見可能なパターンファイル「376」及びウイルスバスター97、ウイルスバスターNT、ウイルスバスターサイトライセンスパック各種に新検索エンジン「v3.51」が提供されます。
過去に色んなウイルスがありましたが、これほど「ウイルス対応商品」の拡販に役立つ(^^;)訴求力充分のウイルスは初めてです。う〜ん、さっそく準備せねば！
【98/05/28】号外！ 3種類の「Denial of Service Attack（サービスが出来なくなる攻撃）」に対するWindows 95用パッチようやく公開（日本語版対応）
マイクロソフト株式会社から、Microsoft Windows 95最新モジュールとして、3種類の「Denial of Service Attack（サービスが出来なくなる攻撃）」に対する修正モジュールである「TCP/IPドライバーのアップデート日本語対応版」が5月27日？付けで公開されています。対象は、Windows 95と、Windows 95 OSR1／2／2.1／2.5です。
3種類の「Denial of Service Attack（サービスが出来なくなる攻撃）」とは、このモバイル虎の穴の姉妹（兄弟？）ページである「NTイントラ虎の穴」の【過去の「NTイントラ虎の穴」セキュリティ関連情報】でお知らせ済みのものばかりです。
具体的には、障害内容と「NTイントラ虎の穴」で紹介したリンク、及び日本語の内容説明（現在は、Windows 95用のものが無いので、仕方なくNT版の説明です）は、以下の通りです。（障害発生の時系列順）
「Out Of Band (OOB) データ受信時の問題」 NT版の内容説明（日本語）
「無効な ICMP データグラムフラグメントによってハングアップ」 NT版の内容説明（日本語）
「"Land Attack" により、Windows 95 の動作速度が遅くなる」 NT版の内容説明（日本語）
ちなみに、有名な「Nuke」攻撃は、実は「Out Of Band (OOB) データ受信時の問題」を突いたものです。インターネット・サービス・プロバイダ「InfoBears」の企画／管理者という顔も持つ私が、テスト用に入手したある2種類の「Nuke」コマンドを使用して実際に実験した所、Windows 95 OSR2の私のパソコンは、この「TCP/IPドライバーのアップデート日本語対応版」を適用する前は、OSそのものはハングアップこそしませんが、ネットワークが使用不可になっていました。
しかし、この「TCP/IPドライバーのアップデート日本語対応版」を適用した後は、「Nuke」攻撃を受けても全く影響が無く、平然としています。少なくとも私の環境では障害対応が有効であり、システム的な問題も発生していません。
尚、これはインターネットに接続している時だけの問題ではありません。実際に某大手企業のシステム管理者の方から相談を受けた時も、社内ネットワークで社員間においてこの「Nuke」攻撃が発生していましたし、他にもかなり事例も多かったようです。
注）「Nuke」攻撃を受けた場合、以下の様なエラーメッセージを表示する場合があります。
例外 OE が VxD MSTCP(01) + 000041AE の 0028:(address) で発生しました。
VxD NDIS(01) + 00000D7C の 0028:(address) からの呼び出しです。
こうした他のマシンを「Nuke」攻撃することは犯罪行為ですので、絶対に行ってはいけません。（どこから「Nuke」攻撃が行われたかを、モニターするツールもあります）
しかし、これで全てのWindows 95の「Denial of Service Attack」問題が解消するわけではなく、「Bonk」問題 （NT版の内容説明）も残っていますので、今後ともセキュリティ関連のウォッチが必要です。
【98/05/25】「IE 4.01 Service Pack 1」公開（日本語版）
マイクロソフト株式会社から、これまで修正プログラムで提供していたセキュリティ問題や、西暦 2000 年問題にも対応した「Internet Explorer 4.01 Service Pack 1 日本語版 for Windows 95 / Windows NT 4.0」がリリースされた情報を含む「Internet Explorer ホーム ページ」が5月21日付けで公開されています。
このService Pack 1 は、現在ダウンロード可能な「Internet Explorer 4.01 for Windows 95 and Windows NT 4.0」には含まれている為、適用対象は、Windows 95，Windows NT 4.0 用のビルド番号が「4.72.3110.8」より古い「Internet Explorer 4.01」です。（[ヘルプ] メニューの [バージョン情報] でタイトルの下に表示される数字がビルド番号です。）
「ダウンロードのページ」もありますが、「Internet Explorer 4.01 Service Pack 1 日本語版 for Windows 95 / Windows NT 4.0」を収録したCD-ROMを実費 （1,000 円、消費税等別）で提供する「CD-ON-CALL （シーディー オンコール） プログラム」もあります。
【98/04/30】「NetMeeting 短縮ダイヤル問題」のセキュリティ・バグ対応公開（日本語版）
マイクロソフト株式会社から、悪意のある Web サイトが、特別に編集された NetMeeting の短縮ダイヤル オブジェクトにリンクして NetMeeting をクラッシュさせることができ、またNetMeeting がクラッシュすると、高度な知識のあるハッカーはコンピュータのメモリで任意のコードを実行可能というセキュリティ・バグの修正パッチ、及び対処済み最新版情報の日本語版「NetMeeting 短縮ダイヤル問題の修正プログラムがご利用いただけます」が4月28日付けで公開されています。対象は、Windows 95，Windows NT 4.0 または Windows NT Alpha 版の NetMeeting 1.0、2.0 または 2.1 を実行しているユーザーです。
この問題って、目ざとい「CNET社の翻訳記事」でも、フォローされてなかったんですよね。
【98/04/19】NC 「Netscape Communicator 4.05」公開（日本語版）
Netscape Communications社から、 また、この虎の穴で、【98/04/03】に紹介したメールアドレスやパスワードが盗まれる可能性があるセキュリティバグSECURITY UPDATE「Preferences bug」の対応等が行われた「Netscape Communicator 4.05」の日本語版の「Communicator 4.05 のダウンロード開始」が公開されています。Windows NT/95 版があります。また、早いJavaの作動、Cosmo 2.0 virtual reality 3D viewer などの新機能も加わっています。
【98/04/17】IE IE 4.0／4.01対象「EMBEDタグ」セキュリティ・バグ対応公開（日本語版）
マイクロソフト株式会社から、この「モバイル虎の穴」で【98/04/07】に報告した悪意あるウェブページ作成者の「EMBED」タグにより、Microsoft Internet Explorer IE 4.0と、4.01をクラッシュさせたり、故意に悪意のあるプログラムを実行させられてしまうような可能性もあるバグの修正パッチ情報の日本語版「EMBED 問題の修正プログラムがご利用になれます」が4月16日付けで公開されています。対象は、「Windows 95 and Windows NT版 IE 4.0/4.01」と、それ以外にも「Macintosh版 IE 4.0，3.0/3.01」（現在、パッチ未公開）です。
IEで、このページをアクセスすると、種別やレベルを区別して必要なfix（修正パッチ）のダウンロード・ページに飛ばしてくれる機能を使用することが可能です。
尚、英語版のサイト「fix for the Embed issue」では公開されている「Unix版 IE 4.0」のfixが、何故かこちらでは公開されて無いと思ったら、そもそも「Unix版 IE 4.0」日本語版が無いんですね。(^^;)
【98/04/07】IE IE 4.0／4.01対象「EMBEDタグ」セキュリティ・バグ対応公開（英語版のみ）
Microsoft社から、この「モバイル虎の穴」で【98/03/24】に報告した悪意あるウェブページ作成者の「EMBED」タグにより、Microsoft Internet Explorer IE 4.0と、4.01をクラッシュさせたり、故意に悪意のあるプログラムを実行させられてしまうような可能性もあるバグの修正パッチ情報「fix for the Embed issue」が3月31日付けで公開されています。対象は、お知らせ済みの「Windows 95 and Windows NT版 IE 4.0/4.01」と、それ以外にも「Macintosh版 IE 4.0/4.0a，3.0/3.01」（現在、パッチ未公開）と「Unix版 IE 4.0」です。
IEで、このページをアクセスすると、種別やレベルを区別して必要なfix（修正パッチ）のダウンロード・ページに飛ばしてくれる機能を使用することが可能です。また、このfix（修正パッチ）は英語版専用になりますので、日本語版に関しては「Internet Explorerのセキュリティ」をウォッチする必要があります。
尚、本来は「Windows 98」も対象なのですが、さすがにそれ用のfixは、公開されていませんね。(^^;)
【98/04/03】NC 「Netscape Communicator 5.0」のソースコードと、「Netscape Communicator 4.05」公開
Netscape Communications社から、この虎の穴で、【98/01/23】に紹介した「Netscape、次世代の Communicator のソース・コードをネット上で無償で提供する計画を発表」のアナウンス通りに、「Netscape Communicator 5.0」のソースコードを開発者向けに公開した「NETSCAPE ACCELERATES COMMUNICATOR EVOLUTION WITH FIRST RELEASE OF NEXT-GENERATION COMMUNICATOR SOURCE CODE TO DEVELOPER COMMUNITY VIA MOZILLA.ORG 」が3月31日付けで公開されています。また、関連情報として、ソースコードのライセンス条項「Netscape Public License(NPL)」の日本語版があります。
最初、実行可能な形式にコンパイルされているものを探しましたが、やはりソースしか見当たりません。それならば、なんとかツテを頼ってコンパイルしてもらうか？とも考えましたが、リリース文を良く見ると「the first developer release of its Communicator 5.0 source code」とあり、β版以前のレベルで、まだまだ常用にWebブラウザとして使用するには品質に問題が有りそうでしたので、断念しました。ちなみに、「Netscape Communicator」オリジナルブランドの一般利用者向けのバージョンは、今年末までにリリースされる模様です。尚、関連情報として、CNET社の翻訳記事「ネットスケープ、ついにソースコードを公開」が公開されています。
また、この虎の穴で、【98/02/19】に紹介したメールアドレスやパスワードが盗まれる可能性があるセキュリティバグSECURITY UPDATE「Preferences bug」の対応等が行われた「Netscape Communicator 4.05」が4月1日付けで公開されています。Windows版，Macintosh版，UNIX版，（OS2版）がそれぞれあります。また、スタンドアロン版の「Netscape navigator 4.05」もあります。これで、一安心です。尚、関連情報として、CNET社の翻訳記事「ネットスケープから最新コミュニケーター」が公開されています。
ちなみに、「Netscape Communicator 5.0」のソースコード公開の情報は4月1日に公開する予定でしたが、例の「April Fool's Day」企画？に為に、今日報告しています。「April Fool's Day」企画は、構想10分，作成2時間というもので、結構時間が掛かっています。忙しい時に限ってこういう事をやりたがるんですよね。(^^;) 各方面からも色々な反響を頂き、有り難うございました。（ナント！日立製作所の「SH4-Project」の方からも「笑えました〜。」とmailを頂きました）
【98/03/24】IE IE4.0(1)をクラッシュさせる新たなバグ情報
Georgi Guninski氏から、この「モバイル虎の穴」で【98/03/19】に報告した「OBJECT」タグに引き続き、今度は悪意あるウェブページ作成者が「EMBED」タグにより、Microsoft Internet Explorer 4.0と、4.01をクラッシュさせるバグの情報「Info about crashing MSIE 4.0(1) 」が公開されています。対象は、Windows 95と98とNT4.0用のIE 4.0と、4.01のようです（3.02は対象外）。
テストしてみると、NT配下のIE4.01も「ワトソン博士」が出てIEがクラッシュし、95配下のIE4.0もクラッシュました。「EMBED」タグで記述された長いファイルの拡張子が、内部的なオーバーランを積み重ねることが原因のようです。ちなみに、「MK Overrun 問題」のように、故意に悪意のあるプログラムを実行させられてしまうような可能性もあるようです。極端な話、悪意のある誰でも仕掛けることの出来る内容の為、IE 4.0と、4.01を使用している場合、怪しいページには行かないことしか、自衛手段はありません。尚、Microsoft社の正式コメントのドキュメントを私はまだ発見していません。IEセキュリティに関する正式コメントは、「Internet Explorer Security」にあがるはずですので、ウォッチする必要があります。
【98/03/19】IE IE4.01をクラッシュさせるバグ情報
Microsoft社は、悪意あるウェブページ作成者が、HTMLの「OBJECT」タグを使ってIEをクラッシュさせることが可能なバグを認識したようです。対象は、Windows 95とNT4.0用のIE4.01で発見されているようです。ちなみに、「MK Overrun 問題」のように、故意に悪意のあるプログラムを実行させられてしまうような致命的な問題ではなさそうです。（まだ、正式コメントのドキュメントを私は発見していません。）尚、CNET社の関連（翻訳）記事「IE4.01をクラッシュさせるバグ」が公開されています。
【98/03/17】NC,NN セキュリティバグ「Preferences bug」対応延期
Netscape Communications社から、この「モバイル虎の穴」で【98/02/19】に報告したメールアドレスやパスワードが盗まれる可能性があるセキュリティバグSECURITY UPDATE「Preferences bug」の対応が、「next maintenance release」まで実質延期されることをアナウンスする「Netscape Security Solutions」が公開されています。当初の予定では、修正版のプライベート・ベータ・テストは、2月23日の週に開始される見込みでした。こうしたセキュリティバグ対応は、従来は速やかに行われてきたので、ちょっと心配です。ワイアード・ニュース・レポートの関連（翻訳）記事「アンドリーセン、ネットスケープ株25%を売却」等の動きに連動したものでなければよいのですが．．．。今日は38度の熱を出して会社を休んでおりますので、充分な調査が出来ていませんが、この件に関して何かありましたら、フォローしていきます。
【98/02/19】NC,NNメールアドレスやパスワードが盗まれる可能性がある「Preferences bug」情報公開
Netscape Communications社からインターネット・コンサルタントによって指摘されたメールアドレスやパスワードが盗まれる可能性があるセキュリティバグSECURITY UPDATE「Preferences bug」が2月17日付けで公開されています。ナント！全てのプラットフォームの「Netscape Navigator」と「Netscape Communicator」の 4.0〜4.04 が対象です。悪意があるWebサイト・オペレーターのWebサイトを訪れた際に、 「prefs.js」ファイルのパス名を推測されることによって、訪問ユーザーのハードディスクから「prefs.js」ファイルが読まれる可能があります。このファイルには、電子メールアドレス，ドメイン名，およびパスワード等の情報が含まれているとされています。（ちなみにメモ帳で開けますよ。私は「Netscape Communicator」のメール機能を使用していないせいか？パスワードはセットされていませんでした。）尚、対策はレポートに記載されていませんが、設定の詳細で「JavaScriptを有効にする」のチェックボタンを外せば防げるはずです。また、設定する修正版のプライベート・ベータ・テストは、2月23日の週に開始される見込みです。ちなみにネットスケープのセキュリティ関連情報は、「Netscape Security Solutions」に掲載されていきます。
【98/01/29】IE「MK Overrun」セキュリティ・バグ対応公開（日本語版）
マイクロソフト株式会社からこの「モバイル虎の穴」で【98/01/20】に報告した「MK Overrun 問題」の修正プログラム「MK Overrun 問題の修正プログラムがご利用になれます」が公開されています。これは、悪意のあるWebサイトで、特定の URL ("mk://" ) にブラウザがサポートする以上の文字数を含んでいる場合に発生し、場合によっては故意に悪意のあるプログラムを実行させられてしまう可能性もあるセキュリティ・バグで、NTも影響を受けます。尚、Windows 3.1 and Windows NT 3.5、及びMacintoshに対応した「Internet Explorer」は、対象外です。
【98/01/25】NN「Netscape Navigator 4.04」に「JavaScript」関連のちょっとした問題
Patrick Morris-Suzuki氏からWindows95上で動作する「Netscape Navigator 4.04」に対し、ある「JavaScript」が署名付きでないにも関わらずウィンドウ操作が出来てしまう問題をデモ付きで指摘する「Javascript Security Problem」が公開されています。ツールバーの削除や、ウィンドウ・クローズが可能ですが、あまり心配する必要は無いと思います。尚、関連記事にCNET社（1月20日付け）の「JavaScript bug in Navigator 4.04 」があります。
【98/01/23】Netscape社が日本語版も含めて「Netscape navigator」「Netscape Communicator」を即時フリー化！
Netscape Communications社からすべてのユーザーに対して「Netscape Navigator and Communicator Standard Edition 4.0」を、ただちにライセンス・フリー化する「NETSCAPE ANNOUNCES PLANS TO MAKE NEXT-GENERATION COMMUNICATOR SOURCE CODE AVAILABLE FREE ON THE NET」が1月22日付けで公開されています。また、1998年の第1四半期の終りまでに公開予定の「Netscape Communicator 5.0」開発者リリースからは、ナント！ ソース・コードも公開されるそうです。これは、Netscape社がWebブラウザ依存体質からビジネスを転換出来た為とされています。（1996年第4四半期に売上の約45%がWebブラウザだったものを、1997年第4四半期には約13%に迄圧縮出来た）尚、日本語化されていない「Netscape Communicator Professional Edition」はUS$29です。同日、Microsoft社から「Microsoft and DOJ Reach Agreement on Compliance with Court Order 」が公開され、連邦地裁仮処分に対して、司法省からのリクエスト版（IEのアイコン、および閲覧ソフト等インターネットアクセス関連の一部のファイルを削除した形態。しかし、動作に関してはほぼ問題ないとされるバージョン。従来はIE関連を削除した結果、問題が発生するバージョンをリリースするとコメントしていた。）も追加したWindows 95がリリースされることが決まりました。Netscape社は、実に絶妙のタイミングで発表しましたね。
（追加情報【98/01/23】：日本語のプレスリリース文「Netscape、次世代の Communicator のソース・コードをネット上で無償で提供する計画を発表」が夕方公開されました。また、「NETSCAPE クライアント製品無償提供についてのQ&A集」もあります。今朝、一生懸命翻訳したんですけど、やっぱり日本語がいいですね。尚、関連記事（翻訳記事）にCNET社の「コミュニケーターが無料に」や「法廷侮辱罪でMSと司法省が和解」があります。
【98/01/20】IEIE 4.0／4.01対象「MK Overrun」セキュリティ・バグ対応公開（英語版のみ）
Microsoft社からこの「モバイル虎の穴」で【98/01/16】に報告した変種"Buffer Overrun問題"の修正パッチ「Fix available for MK Overrun issue」が公開されています。「MK オーバーラン」という名称は、 "mk://" という先頭文字列の極端に長いURLを使うことによりこの問題が発生する為です。また、Windows 3.1, Windows NT 3.5, Macintosh, Unixの各バージョンは対象外です。尚、日本語版への対応は、未定です。
【98/01/16】IE「MK Overrun」セキュリティバグ情報公開
L0pht Heavy Industriesから「L0pht Heavy Industries Security Advisories」のページにMicrosoft Windows 95とWindows NT上でMicrosoft Internet Explorer 4.0／4.01が使用しているコンピュータの動作異常もしくは、任意のコードを実行させられる（システム破壊の可能性もある）セキュリティ・バグに関する「Viewing remote HTML content can execute arbitrary native code」が公開されています。悪意のある情報発信者の仕掛ける極端に長いURLにアクセスした際の、HTMLデコーディング・プロセスのバッファー・オーバーフローの処理の不備を突いたものです。この「モバイル虎の穴」で【97/11/15】に紹介した「res://」というURLの先頭文字を利用した"Buffer Overrun問題" に似ていますが、今回は、ナントNTも影響を受けます。また、Visual Studio (VC++，J++等がセットになっている）がインストールされていればInternet Explorer 3.0でも影響があると指摘されています。尚、Microsoft社からの情報提供は、まだ行われていません。関連記事にCNET社の「IE 4 URL bug resurfaces」があります。（翻訳記事が出た時点で、URLを差し替えます）
【98/01/11】NC「Netcaster期限切れ」問題修正公開（日本語版対応）
Netscape Communications社からWindows95 / NT対応版「Netcaster」の期限切れに対応した「期限切れ Netcaster に対応した Netscape Communicator 4.03の修正モジュールのダウンロード方法」が公開されています。尚、「Netscape Communicator」や「Netscape Navigator」は有償であり、正式ライセンスを持っていない人には、試用する目的での使用を許すもので、90日間を超えての試用は認められていません。もっとも「Netscape Navigator」はフリーソフトになるという噂もありますが．．．。
【97/12/23】Windows 95「ネットワークパスワード漏洩」問題修正公開（日本語版対応）
マイクロソフト株式会社からMicrosoft Windows 95が稼働しているコンピュータのネットワークパスワードが盗まれる問題（97年5月末公表）対応パッチの日本語版「パスワードセキュリティ強化のためのMicrosoft Windows 95アップデート」が公開されています。まず、この問題の特徴として注目しないといけないのは、コンピュータに物理的にアクセスする必要があり、ネットワークを経由してネットワークパスワードを不法に盗まれる訳では無いということです。しかし、ユーザーがネットワークにログオンした状態で、Windows 95を実行しているコンピュータを放置した場合、コンピュータのメモリを不法なプログラムによって走査することにより、そのユーザーのネットワークパスワードを取得されることが有り得ます。このパッチに頼らずとも、ちょっと席を外した際にも「パスワードによって保護されたスクリーンセーバーを使用する」等の自衛策は必須だと思います。
【97/12/15】NN「Java」動作バグ修正も含む「Netscape Navigator 4.04」公開（日本語版）
Netscape Communications社からFTPサイトよりダウンロード可能な形態で一部環境で「Java」がうまく動かないという不具合にも対応した単体版「Netscape Navigator 4.04」のナント日本語版「Netscape Navigator 4.04日本語版」のWindows 95/NT版が公開されています。いつもの通り、正式ではない公開形式であり、直ぐ削除される可能性もあるので、評価したい人は迷わずゲットしたほうが良いと思います。尚、8.7MB程度で「n32e404.exe」（英語版と全く同一の名称の為、注意が必要）というモジュール名です。
【97/12/05】IE「ページ・リダイレクト」バグ修正も含む「Internet Explorer 4.01」公開（日本語版）
マイクロソフト株式会社からこの「モバイル虎の穴」で【97/11/23】に報告した「ページ・リダイレクト」バグ修正も含むInternet Explorerの新バージョンの日本語版「Internet Explorer 4.01日本語版」が公開されています。昨日予測した通りになりましたね。尚、「Internet Explorer 4.0日本語版」が既に組み込んである場合、インターネットに繋がった状態で、メニューの中の「ヘルプ」の「製品更新」を行うことにより、「Internet Explorer 4.01日本語版」へ更新可能です。
【97/11/23】IE「ページ・リダイレクト」バグ修正用パッチ公開（英語版のみ）
Microsoft社からインターネットエクスプローラ(IE)の、あるサイトにIDとパスワードでログインし、そのサイトが別のサイトにリダイレクトした場合、次のサイトでもIDやパスワードが読み出せてしまう「ページ・リダイレクト」バグ修正用パッチ（今回Windows95／NT 4.0用のIE3.02／IE4.0対応のみ）を公開した「Fix now available for Page Redirect issue」が公開されています。Windows 3.1, Windows NT 3.51やMacintoshは対象外です。現在提供されているのは英語版用パッチのみで、日本語版対応はリリース待ちです。CNET社からは、この「ページ・リダイレクト」バグに関する記事マイクロソフトが「リダイレクト」バグを修正（日本語訳）も公開されています。
【97/11/15】IE「Buffer Overrun」バグ修正用パッチ公開（日本語版）
マイクロソフト株式会社からWindows 95版のInternet Explorer 4.0 で "Buffer Overrun問題" として知られるセキュリティバグ対策の日本語版のパッチ（NTは影響ありませんので、パッチを適用しようとしてもはじかれます）も含む「Internet Explorer セキュリティ情報」が公開されています。不具合に内容は、「res://」というURLの先頭文字を利用し、257文字目以降（IE4.0は、通常256文字以上のURLを受け付けない）に実行コードを埋め込むことで、その実行コードがそのまま渡ってしまい、ローカルなプログラムを動作させられる可能性があるというものです。日本語版のパッチ(0.9MB)は、「Buffer Overrun Patch for Windows 95 - Japanese Version」で入手可能です。しかし、肝心な「Internet Explorer セキュリティ情報」のページがIE4.0以外（IE3.Xでさえ閲覧不可）では見れないようにわざわざ作成してあるとは、参ってしまいます。英語の同情報のページ「Internet Explorer Security」はちゃんと、一般のWebブラウザで見れますヨ〜！
【97/11/12】NC「Java」動作バグ修正も含む「Netscape Communicator 4.04」公開（英語版のみ）
Netscape Communications社からFTPサイトよりダウンロード可能な形態で一部環境で「Java」がうまく動かないという不具合にも対応した「Netscape Communicator 4.04」Windows，unix版（英語版）が公開されています。尚、グラフィックフォーマット「PNG」への対応等がなされています。
【97/10/22】IE「Freiburg テキスト表示問題」バグ修正用パッチの再公開（日本語版）
マイクロソフト株式会社からInternet Explorer 4.0 で "Freiburg テキスト表示問題" として知られるセキュリティバグ対策の、10/21までの間にダウンロードした日本語版のパッチの不具合を記載した「"Freiburg" テキスト表示問題の修正プログラムがご利用いただけます」が修正公開されています。不具合に内容は、一部のダイアログボックスが正しく表示出来ないというものです。対象の人は、10/22以降に提供されたパッチを再度ダウンロードして適用する必要があります。私の使用しているNT環境（富士通FM-V ペンティアムプロ200MHzのデスクトップマシンに、NT Server V4.0を稼動させてます。普通個人でNT Server使わないってば！ Toshiba Libretto 50CTワールド仕様には、個人データが全て入っていますが、LAN経由でディスク共有しています）には10/20時点でダウンロードしたパッチをあてていますのでビンゴ！ですが、不具合は残念ながら？出ていません。レアものとして自慢しようと思ったのですが．．．(^^;)
【97/10/20】IE「Freiburg テキスト表示問題」バグ修正用パッチの公開（日本語版）
マイクロソフト株式会社からInternet Explorer 4.0 で "Freiburg テキスト表示問題" として知られるセキュリティバグから、ユーザーのコンピュータを保護するための修正プログラムを提供する「"Freiburg" テキスト表示問題の修正プログラムがご利用いただけます」が公開されています。セキュリティバグ内容は、ユーザーのコンピュータに損傷を与えたり、操作を可能にするものではありません。スクリプト実行を利用した悪意のあるWebサイトの仕掛けで、ユーザーのハードディスク内のテキスト、HTML および画像形式のファイルから、その内容を取得する（ファイルの内容を表示する）可能性があるというものです。 早速、公開された日本語対応も含まれるパッチ（注：このページはNetscape Navigator 4.xからは完全に見えません！）を適用（0.9MB）しましたが、私のNT環境では全く問題無く適用可能でした。日本語版を含めた素早い対応にはビックリしました。ただ、パッチが0.9MBもあるのは、ダイヤルアップユーザにはつらいですね。
【97/09/30】NC「The French Privacy Bug」情報公開
Netscape Communications社から「Netscape Communicator 4.03」で解決済みのセキュリティバグSECURITY UPDATE「The French Privacy Bug」が公開されています。「Netscape Navigator 2.x and 3.x」は影響を受けないようです。悪意のあるクラッカー（原文はハッカーとなっていますが．．）のWebサイトを訪れた際に、「user's preference files（ユーザの設定）」の情報が漏れてしまう可能性があるというもので、ユーザのハードディスクの情報にアクセスするたぐいのものでは無いようです。ちなみにネットスケープのセキュリティ関連情報は、「Netscape Security Solutions」に掲載されていきます。
【97/09/06】NC「The Santa Barbara Privacy Bug」修正も含む「Netscape Communicator 4.03」公開（英語版のみ）
Netscape Communications社からFTPサイトよりダウンロード可能な形態で【97/08/31】にこのページでお知らせした「The Santa Barbara Privacy Bug」に対応した？バージョン「Netscape Communicator 4.03」Windows，Mac，unix版（英語版）が公開（現地時間：9/6 AM）されています。例のごとくWeb上では、何の告知もありませんが、少なくともバグの対象となっていたWindows版は、「The Santa Barbara Privacy Bug」対応バージョンであることは間違いないでしょう。Windows95版の「navigator_standalone」でも8MB強あります。尚、この報告も一般の他のニュースサイトが今日はお休みの為、Webサイトでは日本で一番早い報告のはず？です。使い込んだ状況は、また別途アップします。
【97/08/31】NC「The Santa Barbara Privacy Bug」情報公開
Netscape Communications社から「Netscape Communicator 4.02 for Windows」が影響を受ける新規セキュリティバグSECURITY UPDATE「The Santa Barbara Privacy Bug」が公開されています。MacやUnixバージョンの「Communicator 4.02」は影響を受けないようです。またパッチ（fix）は現在テスト中で、一週間程度で提供されそうです。詳細な内容は記載されていませんが、クラッカー（原文はハッカーとなっていますが．．）のWebサイトを訪れた際に、ブラウジング時の情報が見られてしまうというもので、ユーザのハードディスクの情報にアクセスするたぐいのものでは無いようです。やはり、「JavaScript」や「Javaアプレット」がらみであることが予想される為、いずれにしても自分のブラウザの設定で「JavaScript」や「Javaアプレット」を無効にし自衛すべきでしょうね。
【97/08/13】IE「Java Redirect」問題情報公開
Microsoft社からJavaの実行に関するセキュリティー問題「Java Redirect Security Issue Identified」が公開されています。内容は、IEがダウンロードしたアプレットが、他サーバーへコネクションを張ることを許可してしまう（Javaの仕様では許されていない）というもので、Internet Explorer バージョン3.0 と 4.0が対象で、プラットフォームはWindows 95／Windows 3.1／Windows NT 3.51 and 4.0の全てです（Macintosh版は影響無し）。対応版は作成中です。もうしばらく、ネットワーク・ローダブル・オブジェクトである「Java」「ActiveX」や、スクリプトである「JavaScript」は全部止めた方が良いでしょうね。
【97/08/17】「モバイル虎の穴」スクープ！ 4.Xへバージョンアップ後初の「Netscape navigator」単体版！（英語版のみ）公開 「PC Watch」からも紹介！
Netscape Communications社からプッシュコンテンツ受信ソフト「NetscapeNetcaster」の正式版が同梱された「Netscape Communicator 4.02」Windows版（英語版）が公開されています。【97/08/13】にこのページでお知らせしたJavaの実行に関するセキュリティー問題は、「Netscape Communicator」にも一部影響がありましたが、その修正も施されています。また、ナント！今回より「navigator_standalone」というディレクトリが追加され、「Netscape Communicator」から従来の「Netscape navigator」単体を引き抜いたバージョンも初めて公開されています｡（他は金曜日なのに、このディレクトリのみ日曜日の本日に遅れて公開されていました。この情報は他の一般ニュースサイトはお休みなので日本で一番速い報告かな？お盆も休まず情報発信したかいがありました。）これは、グループウェアクライアント機能が添付された「Netscape Communicator」に対して、自社製品とのバッティングを嫌ったベンダー（特にロータス）からの反発に考慮した苦肉の策でしょう。これで、私も不要にモジュールが大きい「Netscape Communicator」でなく「Netscape navigator」を使用するでしょうから、Netscape Communications社のWebブラウザの大きいシェアをバックにした「取りあえずNetscapeのグループウェアのクライアント機能が入っているから、サーバ機能も使ってみるか」という作戦？も厳しいものになりました。Netscape Communications社が一番やりたくなかった選択でしょうね。話は違いますが、Netscape Communications社の米国本社を訪問したら半ズボンに野球帽の社員？もいてビックリした覚えがあります。あのオープンな社風を維持したままでの巻き返しを期待しています。
（追加情報【97/08/18】：「Netscape navigator 4.02」を使用して一日が過ぎましたが、以前よりブラウザそのものの動作が安定して、なお且つ軽いです。私の環境では、「Netscape Communicator」自身が重くてポロポロ落ちていましたのでIE4.0β版にも浮気していましたが、また私のデフォルトブラウザになりました。ちなみに以前の「Netscape Communicator」を必ずアンインストールしてから、「Netscape navigator 4.02」を改めてインストールしましょう。ブラウザの動作が不安定になります。（私も今回体験済み）また、「Netcaster」は入っていますが、「Mail」が入っていないと言って慌てないようにしましょう。（私は、メーラーは別なものを使用していますので、影響ありませんでしたが．．）
（追加情報【97/08/19】：「Netscape navigator 4.02」と「Netscape Communicator 4.02」を入れ違いで試していましたので、こんがらがったのですが、8/17に公開された初版「Netscape navigator 4.02」では、JavaやNetcasterが動作出来ないという状況でした。但し、本日（8/19）公開され直された「Netscape navigator 4.02」では、OKになっています。余程慌てて公開したのでしょうね。）
（追加情報【97/08/21】：「Netscape、Netcasterを搭載したNetscape Navigator 4.0を発表 クライアント製品ラインナップを拡張」が公開されています。「Netscape Navigator 4.0のユーザは、米国内ではNetscape Smart Updateを使ってNetscape Communicatorに簡単にアップグレードすることができる」等の情報が日本語で読めるのは嬉しいですね。）
（追加情報【98/01/30】：「やじうまPC Watch」の「97年8月18日」版で、『情報は「モバイル虎の穴」ご担当者からいただきました。多謝。』と紹介頂いておりました。せっかく、教えてあげたのに〜と、思っていましたら．．．有り難うございます。
【97/07/31】NC「JavaScriptセキュリティバグ」修正も含む「Netscape Communicator4.01a」公開（日本語版）
Netscape Communications社からFTPサイトよりダウンロード可能な形態でWindows 95/NT用「Netscape Communicator4.01a」日本語版（【97/07/11】にこのページでお知らせしたNetscape NavigatorのJavaScriptセキュリティバグに対する修正版の日本語バージョン）が公開されています。当初、Netscape Communicator4.X系の日本語版のftpサイトでの公開は無いとの方針だったはずですが、一連のバグ対応の為に公開された？ようです。良い決断の例ですね。
【97/07/28】IE「JavaScriptセキュリティバグ」修正用パッチ公開（英語版のみ）
Microsoft社から【97/07/11】にこのページでお知らせした一般利用者のWeb活動をモニターするJavaScriptセキュリティバグに対応した「Fix for JavaScript Privacy Problem Discovered by Bell Labs Now Available! 」が公開されています。Internet Explorer 3.02 for Windows95 and Windows NT4.0用の「Updateファイル」（英語版）が公開されています。但し、未だ「Updateファイル」組み込みをやっていないことが条件であり、組み込み後の修正は別途（先週末予定のはず？）公開されます。尚、日本語版への対応は、未定です。
【97/07/27】NC「The Singapore Privacy Bug」情報公開
Netscape Communications社からNetscape Communicatorの「LiveConnect」を利用した新たなセキュリティバグ「The Singapore Privacy Bug」が公開されています。利用者がどのURLを訪問するのか，利用者がHTMLのフォーム(パスワードを含む)に入れるデータ，及び利用者のクッキーファイルの中に置かれたデータが漏れてしまいます。修正されたNetscape Communicatorは、数週間で利用可能予定と案内されています。尚、Netscape Navigator 2.xと3.xは，このバグで影響を受けません。ちなみに、「LiveConnect」は、同一のHTMLページ中で「JavaScript」と「Javaアプレット」との連携を可能にする技術ですが、「Internet Explorer」は「LiveConnect」をサポートしていない？ので、関係無いのかな？
【97/07/18】NC「JavaScriptセキュリティバグ」修正も含む「Netscape Communicator4.01a」公開（英語版のみ）
Netscape Communications社から【97/07/11】にこのページでお知らせしたNetscape CommunicatorのJavaScriptセキュリティバグに対する修正版「Welcome to Netscape Communicator 4.01a for Windows」が公開されています。ダウンロード場所はここです。尚、日本語版のNetscape Communicator ver.4.01を日本一早く入手可能？なのは「Netscape Communicator ver.4.01 7月19日午前0時よりダウンロード販売開始」が公開されている「G-Search InterShop」でしょう。また、今回のJavaScriptセキュリティバグに対する「日本語版用バグフィックスモジュール」も追って公開されると思います。
【97/07/11】NC,IE「JavaScriptセキュリティバグ」情報
CERT/CCから一般利用者のWeb活動をモニターする（訪問したドキュメントのURLを観測する等）のを可能にするスクリプト言語のJavaScriptセキュリティバグ「JavaScript Vulnerability」が公開されています。対処方法は、この問題のためのブラウザのパッチ（もしくは対処版の製品）を入手するか、ブラウザでJavaScriptを無効にするしかないようです。Microsoft社はここで、Netscape Communications社はここで対応を公開しています。尚、昨日ご紹介した「Netscape Navigator 3.02」はこの件に対応済とのことです。まあ、JavaScriptを無効化しちゃえばOKですね。なんだか、ちょとのことでは、ビックリしなくなって明らかに感覚が麻痺しつつありますね。（実は、作戦だったりして．．．）
【97/07/10】NN（デンマークの）Internetコンサルタントによって報告されたバグ修正も含む「Netscape Navigator 3.02」公開（英語版のみ）
Netscape Communications社から【97/06/14】にこのページでお知らせしたNetscape Navigatorのセキュリティバグに対する修正版「Netscape Navigator 3.02(セキュリティバグ対応版)」が公開されています。Netscape Navigator 3.02は、全てのプラットフォーム(Windows，Macintosh，Unix)版がようやく揃っています。
【97/06/21】「マイクロソフト オフィスセキュリティ」情報公開
マイクロソフト株式会社からMicrosoft Word 6.0 (Windows 版および Macintosh 版) に対応したウィルス対策ツールもダウンロードが可能な「マイクロソフト オフィスセキュリティ情報」が公開されています。このページは、マイクロソフト オフィスのインターネットに関する様々なセキュリティ問題情報やマクロ ウィルス情報が掲載されており、必見です。
【97/06/18】NC（デンマークの）Internetコンサルタントによって報告されたバグ修正も含む「Netscape Communicator 4.01」公開（英語版のみ）
Netscape Communications社から【97/06/14】にこのページでお知らせしたNetscape Communicatorのセキュリティバグに対する修正版「Welcome to Netscape Communicator 4.01 for Windows」が公開されています。ダウンロード場所はここです。約束通り、Netscape Communicatorの対応版から出荷開始です。修正内容に詳細はまだ不明ですが、また他のプラットフォームのものが残っていますので、順次公開されるでしょう。尚、「既知の問題」も併せて公開されています。
【97/06/16】「マイクロソフト パワーポイントセキュリティ」情報公開
マイクロソフト株式会社からPowerPoint 97 for the Windowsのセキュリティ機能が強化される「マイクロソフト パワーポイントのファイルを表示するときに発生する可能性のある、セキュリティ問題を解決するための修正プログラム」が公開されています。このアップデート プログラムをセットアップすると、プレゼンテーション内から MS-DOS やWindows のプログラムが起動されるときに、常に警告メッセージが表示されるようになります。PowerPoint 95 for the Windowsとインターネット エクスプローラを使用している場合には、【97/05/20】に紹介済の「PowerPoint/IE セキュリティ情報」を参照下さい。
【97/06/14】NC,NN（デンマークの）Internetコンサルタントによって報告されたバグ情報
Netscape Communications社から「asahi.com」の「サンノゼマーキュリーニューズダイジェスト」でも報じられているNetscape Navigatorのセキュリティバグに関する情報「SECURITY UPDATE」が公開されています。ナント！（デンマークの）Internetコンサルタントによって報告されたバグ（Netscape Navigatorでアクセスしたユーザのコンピュータのファイルを、悪意があるWebサーバから読み取れる）は全てのプラットフォーム(Windows，Macintosh，Unix)のNetscape Navigator 2.0／3.0，及びNetscape Communicator(4.0)に影響するとのことです。但し、6月16日の週にCommunicator(4.0)用の修正フィックス(パッチ？)をリリースし、Navigator 3.0用はその後にリリースされるとのこと。Netscape社は、このバグに関していかなる顧客事故も報告されなかったと言っています。また、修正フィックスがリリースされるまでの回避方法（警告ダイアログボックスの表示？）もこのページで説明してあります。
（「asahi.com」の「サンノゼマーキュリーニューズダイジェスト」が報じている「脅迫」行為があったのかは、疑問もありますが．．．．）
＊Netscape Navigator 3.0の当面の回避方法（日本語メニューに対応させました。英語版の方は原文を確認して下さい）：「オプション」メニューに行って，「セキュリティの設定」を選択します。警告ダイアログボックスを可能にする為に，「全般」の｢保護なしでフォームを提出するとき」のチェックボックスを選択します。
＊Netscape Navigator 4.0の当面の回避方法：「Security Advisor」を開くように，ツールバーでアイコンを選択します。警告ダイアログボックスを可能にする為に，「Navigator」を選択し、｢SendingUnencrypted Information to a Site｣のチェックボックスを選択します。
【97/05/20】「マイクロソフト パワーポイントセキュリティ」情報公開
マイクロソフト株式会社からInternet Explorer上でPowerPoint のファイルを表示するときに発生する可能性のある、セキュリティ問題を解決するための修正プログラムの提供「PowerPoint/IE セキュリティ情報」が公開されています。PowerPointには、PowerPointのファイルから他のプログラムを実行できる機能があり、その機能を悪用されてしまうと、ユーザーへの警告がないままファイルが実行され、結果的に知らないうちにコンピュータが操作されてしまう可能性があるとのことです。「ユーザーへの警告が表示されない」というのが、一番恐いですね。
【97/04/28】日経ネットナビから最新版IE3.02へのアップグレードを行っていない場合に発生する可能性がある「Internet Explorerのセキュリティ問題について」が公開されています。根本的な解決ではなく単に警告を発するだけですが、IE3.02へのアップグレードは最低でも行うことをお薦め致します。
【97/04/28】日経BP社からShockwaveのセキュリティ問題「Shockwaveにもセキュリティ・ホールが見つかる」が公開されています。尚、英語版の最新版（ V13.0）で、解決されています。
【97/04/03】あさだ たくやサンからインターネットエクスプローラ、インターネットメール＆ニュースの起こしがちなトラブルを防ぐ為の「Microsoft Internet Mail & News の設定」が公開されています。非常に良く出来た内容で、必見です。
【モバイル虎の穴】へ戻る
このページに関するご意見ご感想は山下 眞一郎(E-mail:yama@bears.ad.jp)までどうぞ。
All Rights Reserved, Copyright Fujitsu Minami-Kyusyu Systems Engineering Limited 1996.