セキュリティ アドバイザリ

Microsoft セキュリティ アドバイザリ 960715

ActiveX キル ビットの更新プログラムのロールアップ

公開日: 2009 年 2 月 10 日 |更新日: 2009 年 6 月 17 日

バージョン: 1.2

Microsoft では、このアドバイザリを使用して、ActiveX キル ビットの新しいセットをリリースしています。

この更新プログラムには、以前に公開された Microsoft セキュリティ情報のキル ビットが含まれています。

• MS08-070、 Visual Basic 6.0 ランタイム拡張ファイル (ActiveX コントロール) の脆弱性により、リモートでコードが実行される (932349)

この更新プログラムには、次のサード パーティ製ソフトウェアのキル ビットも含まれています。

• Akamai ダウンロード マネージャー。 このセキュリティ更新プログラムは、 Akamai Technologies によって開発された ActiveX コントロールのキル ビット を設定します。 Akamai Technologies は、影響を受けるコンポーネントの脆弱性に対処するセキュリティ更新プログラムをリリースしました。 詳細とダウンロード先については、Akamai Technologies のセキュリティ リリースを参照してください。 このキル ビットは、ActiveX コントロールの所有者の要求で設定されています。 この ActiveX コントロールのクラス識別子 (CLSID) は、このアドバイザリの「 よく寄せられる質問 」セクションに記載されています。
• モーション (RIM) AxLoader の研究。 このセキュリティ更新プログラムは、 Research In Motion (RIM) によって開発された ActiveX コントロールのキル ビット を設定します。 RIM は、影響を受けるコンポーネントの脆弱性に対処するセキュリティ更新プログラムをリリースしました。 詳細とダウンロード場所については、Research In Motion のセキュリティ リリースを参照してください。 このキル ビットは、ActiveX コントロールの所有者の要求で設定されています。 この ActiveX コントロールのクラス識別子 (CLSID) は、このアドバイザリの「 よく寄せられる質問 」セクションに記載されています。

この更新プログラムのインストールの詳細については、マイクロソフト サポート技術情報の記事960715を参照してください。

一般情報

概要

アドバイザリの目的: ActiveX キル ビットの更新の可用性の通知。

アドバイザリの状態: Microsoft サポート技術情報の記事と関連する更新プログラムがリリースされました。

推奨事項: 参照されているサポート技術情報の記事を確認し、適切な更新プログラムを適用します。

このアドバイザリでは、次のソフトウェアについて説明します。

よく寄せられる質問

Windows Server 2008 Server Core をインストールしているユーザーは、この更新プログラムをインストールする必要がありますか?
Windows Server 2008 Server Core をインストールしているユーザーは、この更新プログラムをインストールする必要はありません。 Server Core のインストール オプションの詳細については、「Server Core」を参照してください。 Server Core のインストール オプションは、Windows Server 2008 の特定のエディションには適用されないことに注意してください。「Server Core インストール オプションの比較」を参照してください。

このアドバイザリにセキュリティ評価が関連付けられていないのはなぜですか?
この更新プログラムには、Microsoft が所有していないサード パーティ製コントロールのキル ビットが含まれています。 Microsoft は、脆弱なサード パーティのコントロールに対するセキュリティ評価を提供していません。

この更新プログラムは、ActiveX Kill Bits (950760) の累積的なセキュリティ更新プログラムを置き換えますか?
いいえ。自動更新のために、この更新プログラムは、Microsoft セキュリティ情報 MS08-032 に記載されている ActiveX Kill Bits (950760) の累積的なセキュリティ更新プログラムを置き換えるものではありません。 自動更新では、この更新プログラム (960715) がインストールされているかどうかに関係なく、引き続き MS08-032 更新プログラムが提供されます。 ただし、この更新プログラム (960715) をインストールするユーザーは、MS08-032 で設定されているすべてのキル ビットで保護するために MS08-032 更新プログラムをインストールする必要はありません。

以前のキル ビット更新プログラムがセキュリティ情報でリリースされたときに、セキュリティ アドバイザリを使用して ActiveX Kill Bits 用のこの更新プログラムロールアップをリリースするのはなぜですか?
新しいキル ビットが Microsoft ソフトウェアに影響を与えないか、以前に Microsoft セキュリティ情報で設定されていたため、Microsoft は、ActiveX Kill Bits のこの更新プログラムロールアップをアドバイザリと共にリリースします。

この更新プログラムには、ActiveX Kill Bits の更新プログラム ロールアップで以前にリリースされた強制終了ビットが含まれていますか?
はい。この更新プログラムには、以前に Microsoft セキュリティ アドバイザリ 956391で 設定されたキル ビットも含まれています。

この更新プログラムには、インターネット エクスプローラー セキュリティ更新プログラムで以前にリリースされたキル ビットが含まれていますか?
いいえ。この更新プログラムには、インターネット エクスプローラー セキュリティ更新プログラムで以前にリリースされたキル ビットは含まれません。 インターネット エクスプローラー用の最新の累積的なセキュリティ更新プログラムをインストールすることをお勧めします。

キル ビットとは
Microsoft Internet エクスプローラー のセキュリティ機能により、ActiveX コントロールがインターネット エクスプローラー HTML レンダリング エンジンによって読み込まれないようにできます。 これはレジストリ設定を行うことによって行われ、強制終了ビットの設定と呼ばれます。 強制終了ビットが設定された後、コントロールが完全にインストールされている場合でも、コントロールを読み込むことはありません。 キルビットを設定すると、脆弱なコンポーネントが導入された場合やシステムに再導入された場合でもメイン不活性で無害になります。

詳細については、「Microsoft サポート技術情報の記事 240797: インターネット エクスプローラーで ActiveX コントロールの実行を停止する方法」を参照してください。

ActiveX キル ビットのセキュリティ更新プログラムとは
このセキュリティ更新プログラムには、このセキュリティ更新プログラムの基礎となる特定の ActiveX コントロールのクラス識別子 (CLSID) のみが含まれます。

この更新プログラムにバイナリ ファイルが含まれていないのはなぜですか?
この更新プログラムは、インターネット エクスプローラーでのコントロールのインスタンス化を無効にするようにレジストリに変更を加えるだけです。

影響を受けるコンポーネントがインストールされていない場合、または影響を受けるプラットフォームを使用していない場合は、この更新プログラムをインストールする必要がありますか?
はい。 この更新プログラムをインストールすると、脆弱なコントロールがインターネット エクスプローラーで実行されなくなります。

後日、このセキュリティ更新プログラムで説明されている ActiveX コントロールをインストールする場合、この更新プログラムを再適用する必要がありますか?
いいえ。この更新プログラムを再適用する必要はありません。 kill ビットは、後でコントロールがインストールされている場合でも、インターネット エクスプローラーがコントロールを実行するのをブロックします。

この更新プログラムは何を行いますか?
この更新プログラムは、クラス識別子 (CLSID) の一覧の強制終了ビットを設定します。

次のクラス識別子は、Akamai による、脆弱なクラス識別子のキル ビットの設定要求に関連しています。 詳細については、Akamai によって発行されたセキュリティ リリースを参照してください。

次のクラス識別子は、Research In Motion (RIM) による要求に関連して、脆弱なクラス識別子のキル ビットを設定します。 詳細については、RIM によって発行されたセキュリティ リリースを参照してください。

次のクラス識別子は、Microsoft セキュリティ情報 MS08-070 で説明されている CAPICOM コントロールに関連しています。Visual Basic 6.0 ランタイム拡張ファイル (ActiveX コントロール) の脆弱性により、リモート コードの実行が許可される可能性があります (932349)。

推奨されるアクション

このアドバイザリに関連付けられている Microsoft サポート技術情報の記事を確認する

Microsoft では、お客様にこの更新プログラムのインストールを推奨しています。 この更新プログラムの詳細を知りたがっているお客様は、Microsoft サポート技術情報の記事960715を参照してください。

対処方法

回避策とは、基になる脆弱性を修正しないが、更新プログラムを適用する前に既知の攻撃ベクトルをブロックするのに役立つ設定または構成の変更を指します。 Microsoft は、回避策によって機能が低下するかどうかを説明する中で、次の回避策と状態をテストしました。

• COM オブジェクトがインターネット エクスプローラーで実行されないようにする
  レジストリ内のコントロールの強制終了ビットを設定することで、インターネット エクスプローラーで COM オブジェクトをインスタンス化する試行を無効にすることができます。

  警告 レジストリ エディターを正しく使用しない場合は、オペレーティング システムを再インストールする必要がある重大な問題が発生する可能性があります。 レジストリ エディターの不適切な使用によって生じた問題については、解決を保証できません。 リスクを理解した上でレジストリ エディターを使用してください。

  インターネット エクスプローラーでコントロールが実行されないようにするために使用できる詳細な手順については、Microsoft サポート技術情報の記事240797を参照してください。 この記事の手順に従ってレジストリに互換性フラグの値を作成し、COM オブジェクトがインターネット エクスプローラーでインスタンス化されないようにします。

  注: ActiveX オブジェクトが含まれているクラス識別子と対応するファイルについては、上記の FAQ セクションの「この更新プログラムの内容」に記載されています。 以下の {XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX} を、このセクションにあるクラス識別子に置き換えます。

  CLSID のキル ビットを {XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXXXXX} の値で設定するには、次のテキストをメモ帳などのテキスト エディターに貼り付けます。 次に、.regファイル名拡張子を使用してファイルを保存します。

  Windows レジストリ エディター バージョン 5.00 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet エクスプローラー\ActiveX Compatibility\{ XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX }] "互換性フラグ"=dword:00000400

  この.regファイルは、ダブルクリックして個々のシステムに適用できます。 グループ ポリシーを使用して、doメイン 全体に適用することもできます。 グループ ポリシーの詳細については、次の Microsoft Web サイトを参照してください。

  • グループ ポリシーコレクション
  • グループ ポリシー オブジェクト エディターとは
  • コア グループ ポリシーのツールと設定

  注: 変更を有効にするには、インターネット エクスプローラーを再起動する必要があります。

  回避策の影響: オブジェクトがインターネット エクスプローラーで使用されることを意図していない限り、影響はありません。

その他の情報

リソース:

• フォームに入力すると、Microsoft のヘルプとサポートにアクセスしてフィードバックを 提供できます。お問い合わせください。
• 米国およびカナダのお客様は、Microsoft 製品サポート サービスからテクニカル サポートを受けることができます。 使用可能なサポート オプションの詳細については、Microsoft のヘルプとサポートを参照してください。
• 海外のお客様は、現地の Microsoft 子会社からサポートを受けることができます。 国際サポートの問題について Microsoft に問い合わせる方法の詳細については、国際サポートを参照してください。
• Microsoft TechNet Security は、Microsoft 製品のセキュリティに関する追加情報を提供します。

免責事項:

このアドバイザリで提供される情報は、いかなる種類の保証もなく「現状のまま」提供されます。 Microsoft は、商品性と特定の目的に対する適合性の保証を含め、明示または黙示を問わず、すべての保証を放棄します。 Microsoft Corporation またはそのサプライヤーは、Microsoft Corporation またはそのサプライヤーがこのような損害の可能性について通知された場合でも、直接的、間接的、付随的、派生的、ビジネス上の利益の損失、または特別な損害を含む一切の損害について一切の責任を負いません。 一部の州では、派生的損害または付随的損害に対する責任の除外または制限が認められていないため、前述の制限は適用されない場合があります。

リビジョン：

• V1.0 (2009 年 2 月 10 日): アドバイザリ公開
• V1.1 (2009 年 4 月 29 日): Windows Server 2008 Server Core インストールのユーザーがこの更新プログラムをインストールする必要がないことを伝えるために、よく寄せられる質問にエントリを追加しました。
• V1.2 (2009 年 6 月 17 日): 自動更新の目的で、Microsoft セキュリティ情報 MS08-032 に記載されている ActiveX Kill Bits の累積的なセキュリティ更新プログラム (950760) は置き換えないことを伝えるために、よく寄せられる質問へのエントリを追加しました。

ビルド日: 2014-04-18T13:49:36Z-07:00