マイクロソフト セキュリティ情報 MS03-011

技術的な説明 :
Microsoft VM は Win32® 運用環境のための仮想マシンです。Microsoft VM は Internet Explorer のほとんどのバージョンに同梱されています。また、Windows のほとんどのバージョンにも同梱されています。(これらのバージョンの一覧は 「よく寄せられる質問」 をご覧下さい。)

Microsoft VM が更新され、これまでリリースされたすべての更新プログラムを含み、なおかつ、新たに報告されたセキュリティ上の脆弱性に対する更新プログラムが含まれました。この新たなセキュリティ上の脆弱性は、Microsoft VM のByteCode Verifier コンポーネントに影響を及ぼし、Java アプレットが読み込まれる際に、ByteCode Verifier が、ある特定の悪質なコードを適切にチェックしないために発生します。この新たなセキュリティ問題を悪用した攻撃では、悪質な Java アプレットを作成し、それを Web ページに挿入し、そのページが開かれるとその脆弱性が悪用される可能性があります。攻撃者は、次にそのような Web ページを Web サイト上にホストするか、またはユーザーに電子メールで送信する可能性があります。

問題を緩和する要素 :

• 攻撃者が Web ベースの方法でこの脆弱性を悪用するには、攻撃者が管理する Web サイトにユーザーを訪問させるよう誘導することが必要条件となります。この脆弱性自体では、ユーザーが強制的に Web サイトに誘導されることはありません。
• Java アプレットは [制限付きサイト ゾーン] 内で無効にされます。そのため、Outlook 2002、Outlook Express 6、または Outlook 98 および 2000 に Outlook 電子メール セキュリティ アップデートをインストールして使用した場合など、[制限付きサイト ゾーン] 内 で HTML 形式のメールが開かれるメール クライアントは、メールベースの攻撃による危険はありません。
• この脆弱性により、取得される可能性があるのはユーザーの権限のみで、管理者権限より低い権限でシステムを実行している場合、この脆弱性による危険性は比較的低くなると考えられます。
• 企業の IT 管理者は、ファイアウォールでアプリケーション フィルタを使用し、モバイル コードを検知、ブロックすることによって、ユーザーに起こる危険を制限することができます。

深刻度 :

上記の評価はこの脆弱性の影響を受けるシステムの種類、システムの典型的な展開形式およびこの脆弱性がシステムに及ぼす影響に基づいています。

脆弱性識別番号 :
CAN-2003-0111

テストしたバージョン :
マイクロソフトは VM ビルド 5.0.3802 およびそれ以降のビルドのテストを行い、この脆弱性による影響を評価しました。それ以前のバージョンに関してはサポートの対象となっていないため、この脆弱性による影響は不明です。

新しい Microsoft VM のビルドはどのようなセキュリティ上の脆弱性を排除しますか?

この Microsoft VM のビルドは過去にリリースされたセキュリティ更新プログラムおよび新しく報告されたセキュリティ上の脆弱性を排除します。新しく報告された脆弱性は ByteCode Verifier に影響を及ぼし、攻撃者がその脆弱性を悪用し、ユーザーのシステム上で任意のコードを実行する恐れがあります。

Microsoft VM とは何ですか?

Microsoft 仮想マシン (Microsoft VM) は、Windows プラットフォームでの Java プログラムの実行を可能にします。Microsoft VM は Windows および Internet Explorerのほとんどのバージョンに含まれています。ここで説明する脆弱性は Microsoft VM をインストールしているすべてのお客様に影響を及ぼします。

使用中のシステムに Microsoft VM がインストールされているかどうか分かりません。どのように確認できますか?

Windows の次のバージョンのいずれかを使用している場合、Microsoft VM がインストールされています。

• Microsoft Windows 95
• Microsoft Windows 98 および 98 Second Edition
• Microsoft Windows Millennium
• Service Pack 1 以降の Microsoft Windows NT 4.0
• Service Pack 4 以前の Microsoft Windows 2000
• Microsoft Windows XP

Microsoft VM は Internet Explorer およびそのほかの製品のいくつかのバージョンにも同梱されています。Microsoft VM がインストールされているかどうか定かでない場合、次の手順に従ってください。

1. [スタート] から [ファイル名を指定して実行] を選択します。
2. [ファイル名を指定して実行] ダイアログ ボックスが表示されたら、次の操作を行います。
   • Windows 98, Windows 98 Second Edition または Windows Millennium Editionを実行している場合、“command” (二重引用符 “ ” は不要です) と入力し、エンター キーを押します。
   • Windows NT 4.0、Windows 2000 または Windows XP を実行している場合、“cmd” (二重引用符 “ ” は不要です) と入力し、エンター キーを押します。
     • コマンド ボックスに “Jview” (引用符 “ ” は不要です) と入力します。プログラムが実行された場合、Microsoft VM がインストールされています。”該当する名前のプログラムはありません” といった内容のエラー メッセージが表示された場合、Microsoft VM はインストールされていません。

これは Microsoft VM の新しいバージョンですか?

はい。Microsoft VM ビルド 3810 は Microsoft VM の新しいバージョンです。

使用している Microsoft VM のバージョンはどのように確認するのですか?

使用中のビルド番号の確認方法は次の通りです。

1. [スタート] から [ファイル名を指定して実行] を選択します。
2. Windows 95、98 または Me で、“command” (二重引用符 “ ” は不要です) と入力します。Windows NT 4.0、2000 または XP では、“cmd” (二重引用符 “ ” は不要です) と入力し、エンター キーを押します。
3. コマンド ボックスに “Jview” (二重引用符 “ ” は不要です) と入力し、エンター キーを押します。
4. 結果が表示された一番上の行の右端に、x.yy.zzzz という形式でバージョン番号が表示されます。下 4 桁がバージョン番号です。

バージョン番号の確認後、何をする必要がありますか?

次の表に従い、正しい操作を確認して下さい。

何が原因で起こりますか?

Microsoft VM が最初にコードを読み取る際に、ByteCode Verifier がコードをチェックする方法に問題があるためにこの脆弱性が起こります。

ByteCode Verifier とは何ですか?

ByteCode Verifier は Microsoft VM の低レベルのプロセスで、コードが Microsoft VM に最初に読み込まれる際に、コードまたはバイト コードのチェックを行う役割を果たします。

Microsoft VM の ByteCode Verifier の何が問題になっていますか?

ByteCode Verifier がコードを読み込む際に、コードのチェックを行う方法に問題があります。バイト コードのある特定の不正なシーケンスのチェックが適切に行われないためにその後のセキュリティ チェックがバイパスされ悪質なアプレットが使用される可能性があります。

この脆弱性により、攻撃者は何をする可能性がありますか?

この脆弱性により、攻撃者は悪質な Java アプレットを作成し、それによりユーザーのマシン上で任意のコードが実行される可能性があります。攻撃者は、ユーザーと同じ権限でのみコードを実行することができ、そのためそのユーザーに設定されたすべての制限によって、攻撃者の実行できる動作も影響を受ける可能性があります。

攻撃者はどのようにしてこの脆弱性を悪用する可能性がありますか?

攻撃者は、悪質な Java アプレットを作成し、それを Web ページに挿入することによって、この脆弱性を悪用しようとする可能性があります。そのようなページは、Web サイトにホストされるか、またはユーザーに電子メールで送信する可能性があります。

電子メールベースの攻撃により、どのような危険性が起こる可能性がありますか?

HTML 形式の電子メールでアプレットを送信する場合、攻撃者にとってのデメリットとして、マイクロソフトの最近のメール クライアントのほとんどで、電子メールで Java アプレットの実行がサポートしていないことがあります。Outlook Express 6 および Outlook 2002 では、既定で HTML 形式のメールに埋め込まれた Java アプレットを実行することができません。同様に、Outlook 98 および 2000 では、Outlook 電子メール セキュリティ アップデートをインストールした場合、Java アプレットは実行できません。攻撃者側のメリットは、特定のユーザーを標的にできるという点です。つまり、攻撃者はユーザーが自分の Web サイトを訪問するのを待つ必要がなく、アプレットをユーザーに直接送る可能性があります。

更新プログラムは何を修正しますか?

この更新プログラムは、ByteCode Verifier が Java アプレットを読み込む際に、適切なチェックが行われるようにし、この脆弱性を排除します。

回避策

新しい Microsoft VM のテストの間、適用することができる回避策はありますか?

新しいMicrosoft VM を評価、テストを行う間、以下の回避策を一時的に適用することができます。

• 企業環境では、ファイアウォールでアプリケーション フィルタを使用し、モバイル コードを検知しブロックすることができます。
• Outlook 2002 または Outlook Express 6 など、比較的新しい Microsoft Outlook クライアントを使用している場合、既定で電子メールを悪用した攻撃を防ぐことができます。Outlook 98 または 2000 などの以前のバージョンの Microsoft Outlook クライアントは、Outlook 電子メール セキュリティ アップデートをインストールして使用している場合、電子メールを悪用した攻撃を防ぐことができます。
• Internet Explorer の [インターネット ゾーン] で Java アプレットが、実行されるのを防ぐことができます。Java アプレットを無効にすることにより、特定の Web ページが表示できなくなる可能性があることにご注意ください。Java アプレットを [インターネット ゾーン] で無効にするには、以下の操作を行います。
  • [ツール] メニューで、[インターネット オプション] をクリックします。次に [セキュリティ] タブをクリックし、[レベルのカスタマイズ] ボタンをクリックします。
  • [設定] ボックスで、[Java の許可] の下にある [Java を無効にする] を選択し、[OK] をクリックし、再び [OK] をクリックします。

Microsoft Java 仮想マシンは現在サポートされていません。 詳細情報は、Microsoft Java Virtual Machine および Microsoft Java Virtual Machine Support (英語情報) をご覧ください。