セキュリティ アドバイザリ

Microsoft セキュリティ アドバイザリ 956391

ActiveX キル ビットの更新プログラムのロールアップ

公開日: 2008 年 10 月 14 日 |更新日: 2009 年 6 月 17 日

バージョン: 1.3

Microsoft では、このアドバイザリを使用して、ActiveX キル ビットの新しいセットをリリースしています。 これらの ActiveX コントロールのクラス識別子 (CLSID) は、このアドバイザリの「 よく寄せられる質問 」セクションに記載されています。

この更新プログラムは、次のサード パーティ製ソフトウェアのキル ビットを設定します。

• Microgaming ダウンロード ヘルパー。 Microgaming は、脆弱性に 対処するア ドバイザリと更新プログラムを発行しました。 詳細については、Microgaming のアドバイザリを参照してください。 このキル ビットは、ActiveX コントロールの所有者の要求で設定されています。 サポートが必要なお客様は、Microgaming にお問い合わせください。 この ActiveX コントロールのクラス識別子 (CLSID) は、このアドバイザリの「 よく寄せられる質問 」セクションに記載されています。
• システム要件ラボ Husdawg は、脆弱性に 対処するア ドバイザリと更新プログラムを発行しました。 詳細については、Husdawg のアドバイザリを参照してください。 このキル ビットは、ActiveX コントロールの所有者の要求で設定されています。 サポートが必要なお客様は、Husdawg にお問い合わせください。 この ActiveX コントロールのクラス識別子 (CLSID) は、このアドバイザリの「 よく寄せられる質問 」セクションに記載されています。
• PhotoStockPlus Uploader ツール。 PhotoStockPlus は、脆弱な コントロールに関するア ドバイザリを発行しました。 詳細については、PhotoStockPlus のアドバイザリを参照してください。 このキル ビットは、ActiveX コントロールの所有者の要求で設定されています。 サポートが必要なお客様は、PhotoStockPlus にお問い合わせください。 この ActiveX コントロールのクラス識別子 (CLSID) は、このアドバイザリの「 よく寄せられる質問 」セクションに記載されています。

この更新プログラムは、以前の Microsoft セキュリティ情報で取り上げられていた ActiveX コントロールのキル ビットを設定します。 これらのキル ビットは、この更新プログラムで多層防御手段として設定されています。

• Office Web コンポーネント (328130)、MS02-044 の安全でない関数。
• Microsoft Office Web コンポーネント の脆弱性により、リモートでコードが実行される (933103)、MS08-017 が発生する可能性があります。
• Microsoft Access のスナップショット ビューアーの ActiveX コントロールの脆弱性により、リモートコード実行 (955617)、 MS08-041 が発生する可能性があります。
• GDI+ の脆弱性により、リモートでコードが実行される (954593) 、MS08-052 が発生する可能性があります。

この更新プログラムのインストールの詳細については、マイクロソフト サポート技術情報の記事956391を参照してください。

一般情報

概要

アドバイザリの目的: ActiveX キル ビットの更新の可用性の通知。

アドバイザリの状態: Microsoft サポート技術情報の記事と関連する更新プログラムがリリースされました。

推奨事項: 参照されているサポート技術情報の記事を確認し、適切な更新プログラムを適用します。

このアドバイザリでは、次のソフトウェアについて説明します。

よく寄せられる質問

Windows Server 2008 Server Core をインストールしているユーザーは、この更新プログラムをインストールする必要がありますか?
Windows Server 2008 Server Core をインストールしたユーザーには、この更新プログラムが提供されますが、インストールする必要はありません。 Server Core のインストール オプションの詳細については、「Server Core」を参照してください。 Server Core のインストール オプションは、Windows Server 2008 の特定のエディションには適用されないことに注意してください。「Server Core インストール オプションの比較」を参照してください。

この更新プログラムを適用すると、RSClientPrint ActiveX コントロールが動作を停止します。 この問題に対処するにはどうすればよいですか?
この更新プログラムをインストールし、Microsoft レポート ビューアー再頒布可能パッケージを埋め込む Web サイトからレポートを印刷しているユーザーは、サーバーを最新バージョンの Microsoft Report Viewer 再頒布可能パッケージにアップグレードするまで印刷できません。 Microsoft レポート ビューアー再頒布可能パッケージの更新プログラムは、MS08-052 で入手できます。 この更新プログラムをインストールし、Microsoft SQL Server 2005 Reporting Services アドインをインストールした Microsoft SharePoint サイトからレポートを印刷しているユーザーは、SharePoint サーバーを Microsoft SharePoint Technologies 用 Microsoft SQL Server 2005 Reporting Services アドインの最新バージョンにアップグレードするまで印刷できません。 必要な更新プログラムは、Microsoft ダウンロード センターから入手できます。

この更新プログラムは、ActiveX Kill Bits (950760) の累積的なセキュリティ更新プログラムを置き換えますか?
いいえ。自動更新のために、この更新プログラムは、Microsoft セキュリティ情報 MS08-032 に記載されている ActiveX Kill Bits (950760) の累積的なセキュリティ更新プログラムを置き換えるものではありません。 自動更新では、この更新プログラム (956391) がインストールされているかどうかに関係なく、引き続き MS08-032 更新プログラムが提供されます。 ただし、この更新プログラム (956391) をインストールするユーザーは、MS08-032 で設定されたすべてのキル ビットで保護するために MS08-032 更新プログラムをインストールする必要はありません。

以前のキル ビット更新プログラムがセキュリティ情報でリリースされたときに、セキュリティ アドバイザリを使用して ActiveX Kill Bits 用のこの更新プログラムロールアップをリリースするのはなぜですか?
新しいキル ビットが Microsoft ソフトウェアに影響を与えないか、以前に Microsoft セキュリティ情報で設定されていたため、Microsoft は、ActiveX Kill Bits のこの更新プログラムロールアップをアドバイザリと共にリリースします。

このアドバイザリにセキュリティ評価が関連付けられていないのはなぜですか?
この更新プログラムには、セキュリティ更新プログラムで以前に対処されたサード パーティのコントロールまたはコントロールのキル ビットが含まれています。 Microsoft は、脆弱なサード パーティのコントロールに対するセキュリティ評価を提供していません。

この更新プログラムには、ActiveX Kill Bits の更新プログラム ロールアップで以前にリリースされた強制終了ビットが含まれていますか?
はい。この更新プログラムには、以前に Microsoft セキュリティ アドバイザリ 953839で 設定されたキル ビットも含まれています。

この更新プログラムには、以前にインターネット エクスプローラー セキュリティ更新プログラムに付属していたキル ビットが含まれていますか?
いいえ。この更新プログラムには、以前にインターネット エクスプローラー セキュリティ更新プログラムに付属していたキル ビットは含まれません。 インターネット エクスプローラー用の最新の累積的なセキュリティ更新プログラムをインストールすることをお勧めします。

キル ビットとは
Microsoft Internet エクスプローラー のセキュリティ機能により、ActiveX コントロールがインターネット エクスプローラー HTML レンダリング エンジンによって読み込まれないようにできます。 これはレジストリ設定を行うことによって行われ、強制終了ビットの設定と呼ばれます。 強制終了ビットが設定された後、コントロールが完全にインストールされている場合でも、コントロールを読み込むことはありません。 キルビットを設定すると、脆弱なコンポーネントが導入された場合やシステムに再導入された場合でもメイン不活性で無害になります。

詳細については、「Microsoft サポート技術情報の記事 240797: インターネット エクスプローラーで ActiveX コントロールの実行を停止する方法」を参照してください。

ActiveX キル ビットのセキュリティ更新プログラムとは
このセキュリティ更新プログラムには、このセキュリティ更新プログラムの基礎となる特定の ActiveX コントロールのクラス ID (CLSID) のみが含まれています。

この更新プログラムにバイナリ ファイルが含まれていないのはなぜですか?
この更新プログラムは、インターネット エクスプローラーでのコントロールのインスタンス化を無効にするようにレジストリに変更を加えるだけです。

影響を受けるコンポーネントがインストールされていない場合、または影響を受けるプラットフォームを使用していない場合は、この更新プログラムをインストールする必要がありますか?
はい。 この更新プログラムをインストールすると、脆弱なコントロールがインターネット エクスプローラーで実行されなくなります。

後日、このセキュリティ更新プログラムで説明されている ActiveX コントロールをインストールする場合、この更新プログラムを再適用する必要がありますか?
いいえ。この更新プログラムを再適用する必要はありません。 kill ビットは、後でコントロールがインストールされている場合でも、インターネット エクスプローラーがコントロールを実行するのをブロックします。

この更新プログラムは何を行いますか?
この更新プログラムは、クラス識別子 (CLSID) の一覧のキル ビットを設定します。

次のクラス識別子は、脆弱な ActiveX コントロールのキル ビットを設定するための Microgaming による要求に関連しています。 詳細については、Microgaming が発行した ア ドバイザリを参照してください。

次のクラス識別子は、脆弱な ActiveX コントロールのキル ビットを設定する Husdawg による要求に関連しています。 詳細については、Husdawg が発行した ア ドバイザリを参照してください。

次のクラス識別子は、脆弱な ActiveX コントロールのキル ビットを設定する PhotoStockPlus による要求に関連しています。 詳細については、PhotoStockPlus が発行した ア ドバイザリを参照してください。

次のクラス識別子は、以前に対処した Microsoft セキュリティ情報 MS02-044、 MS08-017、 MS08-041、 MS08-052 に関連しています。 これらのキル ビットは、多層防御として設定されています。

推奨されるアクション

このアドバイザリに関連付けられている Microsoft サポート技術情報の記事を確認する

Microsoft では、お客様にこの更新プログラムのインストールを推奨しています。 この更新プログラムの詳細を知りたがっているお客様は、Microsoft サポート技術情報の記事956391を参照してください。

対処方法

回避策とは、基になる脆弱性を修正しないが、更新プログラムを適用する前に既知の攻撃ベクトルをブロックするのに役立つ設定または構成の変更を指します。 Microsoft は、回避策によって機能が低下するかどうかを説明する中で、次の回避策と状態をテストしました。

• COM オブジェクトがインターネット エクスプローラーで実行されないようにする
  レジストリ内のコントロールの強制終了ビットを設定することで、インターネット エクスプローラーで COM オブジェクトをインスタンス化する試行を無効にすることができます。

  警告 レジストリ エディターを正しく使用しない場合は、オペレーティング システムを再インストールする必要がある重大な問題が発生する可能性があります。 レジストリ エディターの不適切な使用によって生じた問題については、解決を保証できません。 リスクを理解した上でレジストリ エディターを使用してください。

  インターネット エクスプローラーでコントロールが実行されないようにするために使用できる詳細な手順については、Microsoft サポート技術情報の記事240797を参照してください。 この記事の手順に従ってレジストリに互換性フラグの値を作成し、COM オブジェクトがインターネット エクスプローラーでインスタンス化されないようにします。

  注: ActiveX オブジェクトが格納されているクラス識別子と対応するファイルについては、上記の FAQ セクションの「この更新プログラムの内容」を参照してください。 以下の {XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX} を、このセクションのクラス識別子に置き換えます。

  CLSID のキル ビットを {XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXXXXX} の値で設定するには、次のテキストをメモ帳などのテキスト エディターに貼り付けます。 次に、.regファイル名拡張子を使用してファイルを保存します。

  Windows レジストリ エディター バージョン 5.00 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet エクスプローラー\ActiveX Compatibility\{ XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX }] "互換性フラグ"=dword:00000400

  この.regファイルは、ダブルクリックして個々のシステムに適用できます。 グループ ポリシーを使用して、doメイン 全体に適用することもできます。 グループ ポリシーの詳細については、次の Microsoft Web サイトを参照してください。

  • グループ ポリシーコレクション
  • グループ ポリシー オブジェクト エディターとは
  • コア グループ ポリシーのツールと設定

  注: 変更を有効にするには、インターネット エクスプローラーを再起動する必要があります。

  回避策の影響: オブジェクトがインターネット エクスプローラーで使用されることを意図していない限り、影響はありません。

その他の情報

リソース:

• フォームに入力すると、Microsoft のヘルプとサポートにアクセスしてフィードバックを 提供できます。お問い合わせください。
• 米国およびカナダのお客様は、Microsoft 製品サポート サービスからテクニカル サポートを受けることができます。 使用可能なサポート オプションの詳細については、Microsoft のヘルプとサポートを参照してください。
• 海外のお客様は、現地の Microsoft 子会社からサポートを受けることができます。 国際サポートの問題について Microsoft に問い合わせる方法の詳細については、国際サポートを参照してください。
• Microsoft TechNet Security は、Microsoft 製品のセキュリティに関する追加情報を提供します。

免責事項:

このアドバイザリで提供される情報は、いかなる種類の保証もなく「現状のまま」提供されます。 Microsoft は、商品性と特定の目的に対する適合性の保証を含め、明示または黙示を問わず、すべての保証を放棄します。 Microsoft Corporation またはそのサプライヤーは、Microsoft Corporation またはそのサプライヤーがこのような損害の可能性について通知された場合でも、直接的、間接的、付随的、派生的、ビジネス上の利益の損失、または特別な損害を含む一切の損害について一切の責任を負いません。 一部の州では、派生的損害または付随的損害に対する責任の除外または制限が認められていないため、前述の制限は適用されない場合があります。

リビジョン：

• V1.0 (2008 年 10 月 14 日): アドバイザリ公開
• V1.1 (2008 年 10 月 29 日): キル ビットが設定されたコントロールの更新プログラムの可用性を伝えるために、よく寄せられる質問エントリを追加しました。
• V1.2 (2008 年 11 月 12 日): Windows Server 2008 Server Core のインストールが影響を受けるという正しくない参照を削除しました。 Windows Server 2008 Server Core インストールを使用しているユーザーは引き続き提供されますが、この更新プログラムをインストールする必要はないことを伝えるために、よく寄せられる質問にエントリを追加しました。
• V1.3 (2009 年 6 月 17 日): 自動更新の目的で、Microsoft セキュリティ情報 MS08-032 に記載されている ActiveX Kill Bits の累積的なセキュリティ更新プログラム (950760) に置き換えないことを伝えるために、よく寄せられる質問へのエントリを追加しました。

ビルド日: 2014-04-18T13:49:36Z-07:00