IEのパッチについて

質問

最近、ＩＥのセキュリティホールが頻繁に発生し、修正プログラムが出ていますが、新しい修正プログラムは、以前のものを網羅しているのでしょうか？それとも、そのセキュリティホールに特化したものなのでしょうか？

例えば、
不正なドットなし IP アドレスにより Web ページがイントラネット ゾーンで処理されてしまう (2001/10/29)の問題は、クッキーのセキュリティホール（2001/11/13）の修正プログラムで対応できるのでしょうか？

回答No.3

selenity

この手のセキュリティFIXを当てる際の注意点としては、
・セキュリティFIX適用後、必ずしも安定して動作するとは限らない
・サービスパックを当てるともう一度セキュリティFIXを再適用しなければならないものもある
と言うのをお忘れなく、、、

英語版Windowsならhequilさんが言っている「HFnetChk」も最新の情報(XMLデータベース)が使用できますし、複数のセキュリティFIX一度に適用した際にファイルの競合を避けるための「QChain」も使えるのでパッチの適用の際には非常に重宝しています。

興味があるついでに、M$製品のセキュリティ情報をメール配信してくれるサービスもやっていますよ。
このメールにはhequilさんが書いているような情報は必ず含まれているのでわざわざWeb上まで確認しに行かなくても、メールを読めば状況確認は出来ます。

■ セキュリティ情報 E-Mail 通知サービスの刷新に関して
http://www.microsoft.com/japan/technet/security/bulletin.asp

回答No.2

sekiya-h

セキュリティに関心を持つことは、大変良い事です。

下記ＵＲＬを参考にして下さい。

　ホームユーザー向け セキュリティ対策 早わかりガイド
　　↓
　http://www.microsoft.com/japan/enable/products/security/

基本的には一つの問題が発生すると、その問題に対してのパッチが作られ、公表されます。また、パッチによりインストールの順番もありますから、注意しましょう。
大きな修正があったときや、修正パッチが多くなるとService Pack（SP*）という形に統合されるようです。

「マイクロソフト セキュリティ情報一覧」も確認して下さいね。
　　↓
　http://www.microsoft.com/japan/technet/security/current.asp

ＭＳの「Windows Update」だけでなく、Microsoft Office ダウンロード センターも確認してみましょう。

　Microsoft Office ダウンロード センター
　　↓
　http://office.microsoft.com/japan/downloads/

MS01-055 についての問題は、先に hequil さんが詳しく回答していますから省略しました。

ＭＳの無料ニュースレター「マイクロソフトセキュリティ情報」を購読すると最新のセキュリティ問題および新規パッチ等の情報を得ることが出来、お勧めです。

　Microsoft TechNet Flash
ニュースレター無料配信サービス
　　↓
　http://www.microsoft.com/japan/technet/tnflash/default.asp

Symantec Security Checkで、セキュリティとウイルス侵入に対してのテストが出来ます。お試し下さい。
　　↓
　http://www.symantec.com/region/jp/securitycheck/index.html

参考URL：

http://www.microsoft.com/japan/enable/products/security/

回答No.1

hequil

基本的に過去の累積的な修正プログラムというのは
Service Packという位置づけになります。

ただし、各修正プログラムの中には以前のセキュリティホール等も網羅したものがありますが、こればっかりは該当ページを見て確認するしかありません。

例えば、今回のIEのCookieが漏洩するなどの問題（MS01-055）ですが、下記URL

http://www.microsoft.com/japan/technet/security/frame_prekb.asp?sec_cd=MS01-055

を見ていくと

> 修正プログラムに含まれる過去の修正 : MS01-051

と記載があります。
リンク先を見てもらえばわかると思いますがMS01-051というのは

不正なドットなし IP アドレスにより Web ページがイントラネット ゾーンで処理されてしまう (MS01-051)

になります。
今回は「たまたま」過去の修正も行われたものとなっていますが、通常は修正プログラムがリリースされるたびに適用する必要があります。

ただ、専門のシステム管理者以外の方が逐一チェックして修正プログラムを適用するのは苦痛だと思います。
（専門の方でも苦痛だと思いますけど・・・）
で、最近Microsoftが HFnetChkという現在のシステムに未適用の修正プログラムをリストアップしてくれるツールがあります。
＃WindowsNT/2000限定ですが(^^;;;

http://support.microsoft.com/support/kb/articles/q303/2/15.asp
http://www.microsoft.com/japan/technet/security/tools/hfnetchk.asp

ただ、この日本語版のXMLデータベースが最初にリリースされてから更新されていないんですよねぇ～（汗）

ま、参考までに

お礼

良く分かりました。
ありがとうございました。