マイクロソフト セキュリティ情報 MS07-034 - 緊急

「問題を緩和する要素」とは、設定、一般的な構成または一般的な最善策、既定の状態により、脆弱性の悪用の深刻度が低くなる可能性がある要素を指します。次の「問題を緩和する要素」は、お客様の環境で役立つ場合があります。

• Web ベースの攻撃のシナリオで、攻撃者はこれらの脆弱性の悪用を意図した Web ページを含む Web サイトをホストする可能性があります。さらに、ユーザー提供のコンテンツ、または特別に作成されたコンテンツが含まれている侵害された Web サイトおよび広告サーバーを承諾またはホストしている Web サイトにより、この脆弱性が悪用されている可能性があります。しかし、すべての場合において、攻撃者は強制的にユーザーにこれらの Web サイトを訪問させる方法はありません。その代わり、通常、ユーザーに攻撃者の Web サイトに接続させる電子メール メッセージまたはインスタント メッセンジャのメッセージ内のリンクをクリックさせることにより、ユーザーを攻撃者の Web サイトに訪問させることが攻撃者にとっての必要条件となります。
• 既定で、Windows Server 2003 上の Internet Explorer は、「セキュリティ強化の構成」と呼ばれる制限されたモードで実行されます。このモードはインターネット ゾーンのセキュリティ レベルを「高」に設定します。これは、Internet Explorer の信頼済みサイト ゾーンに追加されていない Web サイトに対する「緩和する要素」です。Internet Explorer のセキュリティ強化の構成に関する詳細情報については、この脆弱性に関する「よく寄せられる質問」のサブ セクションをご覧ください。

回避策は、設定または構成の変更を示しており、基本的な脆弱性を正すものではありませんが、更新プログラムを適用する前に既知の攻撃方法を阻止するのに役立ちます。マイクロソフトは、以下の回避策を検証し、この回避策が機能性を低下させるかどうかについて、説明の部分で述べています。

• MHTML プロトコルハンドラを無効にする

  プロトコル ハンドラを無効にするには、次のステップを行ってください。

  1. [スタート] をクリックし、[ファイル名を指定して実行] をクリックします。テキストボックスに [regedit.exe] と入力し、[OK] をクリックします。
  2. HKEY_CLASSES_ROOT\CLSID\{05300401-BCBC-11d0-85E3-00C04FD85AB4} へ移動します。
  3. {05300401-BCBC-11d0-85E3-00C04FD85AB4} を右クリックし、[アクセス許可] を選択します。
  4. [詳細設定] をクリックします。
  5. [親からの継承可能なアクセス許可をこのオブジェクトとすべての子オブジェクトに伝達できるようにします...] のチェックをはずします。
  6. [削除] をクリックし、次に [OK] をクリックします。[はい] をクリックし、続きのウィンドウで [OK] をクリックします。

  回避策の影響 : この回避策は MHTML Web ページについてページのレンダリングを無効にします。

  回避策の解除方法：

  MHTML プロトコル ハンドラを有効にするには、次のステップを行ってください。

  1. [スタート] をクリックし、[ファイル名を指定して実行] をクリックします。テキストボックスに [regedit.exe] と入力し、[OK] をクリックします。
  2. HKEY_CLASSES_ROOT\CLSID\{05300401-BCBC-11d0-85E3-00C04FD85AB4} へ移動します。
  3. {05300401-BCBC-11d0-85E3-00C04FD85AB4} を右クリックし、[アクセス許可] を選択します。
  4. [詳細設定] をクリックします。
  5. [親からの継承可能なアクセス許可をこのオブジェクトとすべての子オブジェクトに伝達できるようにします...] をチェックします。
  6. [OK] をクリックしてから、再度 [OK] をクリックします。
• Internet Explorer をインターネットおよびイントラネットゾーンでアクティブスクリプトが実行される前にダイアログを表示するように構成する、またはアクティブスクリプトを無効にするよう構成する

  アクティブ スクリプトが実行される前にダイアログが表示されるよう、またはインターネットおよびローカルのイントラネット セキュリティ ゾーンでアクティブ スクリプトを無効にするよう設定を変更することにより、この脆弱性に対する保護の手助けを行うことができます。これを行うためには、次のステップに従ってください。

  1. Internet Explorer で、[ツール] メニューから [インターネット オプション] をクリックします。
  2. [セキュリティ] タブをクリックします。
  3. [インターネット] のアイコンをクリックし、次に [レベルのカスタマイズ] ボタンをクリックします。
  4. [設定] の [スクリプト] セクションの [アクティブ スクリプト] で [ダイアログを表示する] または [無効にする] をクリックします。次に [OK] をクリックします。
  5. [イントラネット] をクリックし、[レベルのカスタマイズ] をクリックします。
  6. [設定] の [スクリプト] セクションの [アクティブ スクリプト] で [ダイアログを表示する] または [無効にする] をクリックします。次に [OK] をクリックします。
  7. [OK] を 2 回クリックし、Internet Explorer に戻ります。

  注: インターネットおよびイントラネットのセキュリティ ゾーンでアクティブ スクリプトを無効にすると、Web サイトが正しく動作しなくなる場合があります。この設定の変更後、Web サイトの使用が困難になり、そのサイトが安全であると確信できる場合は、そのサイトを [信頼済みサイト] に追加することができます。これにより、その Web サイトは正しく動作するようになります。

• 信頼する Web サイトを Internet Explorer の信頼済みサイトゾーンに追加する

  インターネット ゾーンおよびローカル イントラネット ゾーンで ActiveX コントロールおよびアクティブ スクリプトが実行される前にダイアログが表示されるように設定した後、信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加することができます。これにより、信頼されていない Web サイトからのこの攻撃から保護する手助けを行いながら、現在使用しているのとまったく同様に、信頼する Web サイトを引き続き使用することができます。マイクロソフトは信頼される Web サイトのみを [信頼済み] サイト ゾーンに追加することを推奨します。

  これを行うためには、次のステップに従ってください。

  1. Internet Explorer で [ツール] をクリックし、[インターネット オプション] をクリックします。次に [セキュリティ] タブをクリックします。
  2. [Web コンテンツのゾーンを選択してセキュリティのレベルを設定する] で、[信頼済みサイト] をクリックし、次に [サイト] をクリックします。
  3. 暗号化されたチャネルを必要としない Web サイトを追加したい場合、[このゾーンのサイトにはすべてサーバーの確認 (https:) を必要とする] のチェック ボックスをクリックし、チェックを外します。
  4. [次の Web サイトをゾーンに追加する] で、信頼する Web サイトの URL を入力し、次に [追加] ボタンをクリックします。
  5. ゾーンに追加したい各 Web サイトについて、これらのステップを繰り返します。
  6. [OK] を 2 回クリックし、変更を受け入れ、Internet Explorer に戻ります。

  注: 悪意のある動作がコンピュータ上で行われないと信頼できるサイトをすべて追加します。なお、特に追加すべき 2 つの Web サイトは “*.windowsupdate.microsoft.com” および “*.update.microsoft.com” です。(二重引用符は必要ありません)これらはセキュリティ更新プログラムをホストする Web サイトで、セキュリティ更新プログラムをインストールするためには ActiveX コントロールを必要とします。

  回避策の影響: アクティブ スクリプトを実行する前にダイアログを表示すると、別の影響があります。インターネットまたはイントラネット上の多くの Web サイトはアクティブ スクリプトを使用して、追加の機能を提供しています。たとえば、オンラインの電子商取引またはバンキング サイトにはアクティブ スクリプトを使用して、メニュー、注文書、計算書などを提供しているものもあります。アクティブ スクリプトを実行する前にダイアログを表示する設定は、すべてのインターネットおよびイントラネット サイトに影響を及ぼすグローバル設定です。この回避策を行うと、ダイアログが頻繁に表示されます。各ダイアログ表示で、訪問している Web サイトを信頼できると考える場合、[はい] をクリックしてアクティブ スクリプトを実行してください。これらのすべての Web サイトでダイアログを表示する必要がない場合、「信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する」で説明されているステップを行ってください。

どのようなことが起こる可能性がありますか?
これは情報漏えいの脆弱性です。攻撃者はこの脆弱性を悪用し、特別に細工された Web ページを作成して、ユーザーが特別に細工された Web サイトを訪問または電子メールのメッセージのリンクをクリックした場合に情報漏えいが起こる可能性があります。この脆弱性で、攻撃者により別の Internet Explorer のドメインからデータが読み取られる可能性があります。しかし、この脆弱性が悪用されるには、ユーザーが操作することが攻撃者にとっての必要条件となります。

何が原因で起こりますか?
Windows が MHTML プロトコルを使用して通信している HTTP のサーバー側のリダイレクトを不正確に解釈するため、この脆弱性が起こります。

どうして、Outlook Express のセキュリティ情報に MHTML リダイレクトの脆弱性があるのですか?
この攻撃手段は、Web ブラウザを介するため、実際の脆弱性は Outlook Express のコンポーネントにあります。

MHTML とは何ですか?
MHTML (MIME Encapsulation of Aggregate HTML) は、HTML のコンテンツをまとめるために使用される MIME の構造を定義するインターネットの標準です。Windows の MHTML のプロトコル ハンドラは、Outlook Express の一部で、アプリケーションで MHTML のエンコード化されたドキュメントがレンダリングされる URL の形式 (MHTML://) を提供します。従って、Internet Explorer のようなアプリケーションは Outlook Express を使用して、MTHML のエンコード化されたドキュメントを処理します。

この脆弱性により、攻撃者は何を行う可能性がありますか?
この脆弱性で、攻撃者により Internet Explorer の別のセキュリティ ゾーンまたは Internet Explorer のドメインからデータが読み取られる可能性があります。

Internet Explorer のセキュリティゾーンとは何ですか？
Internet Explorer のセキュリティ ゾーンとは、オンライン コンテンツをカテゴリ、またはその信頼度に基づいたゾーンに分類するシステムの一部です。各ドメインのコンテンツに対する信頼性を基準に、特定のドメインをゾーンに割り当てることができます。割り当てると、ゾーンのポリシーに基づき、Web コンテンツの機能が制限されます。既定では、ほとんどのインターネット ドメインは、インターネット ゾーンの一部として扱われます。既定で、インターネット ゾーンのポリシーによって、スクリプトやそのほかのアクティブなコードが、ローカル コンピュータ上のリソースにアクセスができないようにされています。

攻撃者はこの脆弱性をどのように悪用する可能性がありますか?
攻撃者は Internet Explorer を介しこの脆弱性を悪用することを目的として設計された特別な細工がされた Web サイトをホストし、ユーザーをその Web サイトに訪問させる可能性があります。これにはユーザーが提供したコンテンツまたは広告を受け入れる Web サイト、ユーザーが提供したコンテンツまたは広告をホストする Web サイトおよび侵害された Web サイトなどが含まれる可能性があります。これらの Web サイトには、この脆弱性を悪用しようとする特別な細工がされたコンテンツが含まれている場合があります。しかし、攻撃者が強制的にユーザーにこれらの Web サイトを訪問させる方法はありません。その代わり、通常、ユーザーに攻撃者の Web サイトに接続させる電子メール メッセージまたはインスタント メッセンジャのリクエスト内のリンクをクリックさせることにより、ユーザーを Web サイトに訪問させることが攻撃者にとっての必要条件となります。

主にどのようなコンピュータがこの脆弱性による危険にさらされますか?
これらの脆弱性が悪用され、悪意のある操作が行われるには、ユーザーがログオンし、Web サイトを訪問していることが攻撃者にとっての必要条件となります。このため、ユーザーのワークステーションまたはターミナル サーバーなど、Internet Explorer を頻繁に使用するコンピュータが、この脆弱性による危険に最もさらされます。

この更新プログラムはどのように問題を修正しますか?
この更新プログラムは Windows の MHTML プロトコル ハンドラが MHTML プロトコルを使用する HTTP サーバー側のリダイレクトを正しく解釈するように変更することにより、この脆弱性を排除します。

このセキュリティ情報のリリース時に、この脆弱性は一般に公開されていましたか?
はい。この脆弱性は一般に知られていました。これは Common Vulnerability and Exposure の CVE-2006-2111 にアサインされています。

このセキュリティ情報の公開時に、マイクロソフトはこの脆弱性が悪用されたという報告を受けていましたか?
いいえ。このセキュリティ情報が最初に公開された段階で、マイクロソフトはこの脆弱性が悪用され、お客様が攻撃されたということを示す情報は受けておらず、また、公開された検証用コードのいかなる実例の存在も確認しておりません。

このセキュリティ更新プログラムを適用すると、この脆弱性を悪用しようとする既に公開されている検証用コードからお客様を保護する手助けとなりますか?
はい。このセキュリティ更新プログラムは公開された検証用コードにより悪用される可能性のある脆弱性を解決します。解決される脆弱性は Common Vulnerability and Exposure の番号 CVE-2006-2111 に割り当てられています。

この脆弱性の問題を緩和する要素は確認されていません。

回避策は、設定または構成の変更を示し、基本的な脆弱性を修正するものではありませんが、更新プログラムを適用する前に既知の攻撃方法をブロックするのに役立ちます。マイクロソフトは次の回避策をテストし、詳細の欄で回避策が機能性を削減するかどうか説明しています。

HTML 形式の電子メールを経路とする攻撃からコンピュータを保護するために、電子メールメッセージをテキスト形式で読んでください。

この脆弱性に対してコンピュータを保護するには、Windows Vista の Windows メールを使用して、電子メールの設定をテキスト形式で表示するように変更してください。Windows Mail の情報については、[ヘルプ] で「テキスト形式」を検索し、「Windows Mail のセキュリティとプライバシ」をご覧ください。

注: この回避策を使用すると、UNC のリンクが完全なファイル パスでクリア テキストで表示されます。テキスト形式で電子メールを表示することにより、ユーザーがリンクをクリックするのを防ぐことはできませんが、ユーザーがクリックする前に、UNC リンクが特別に細工されたものであると特定するのが容易になります。

回避策の影響: テキスト形式で表示される電子メール メッセージは、写真、特別なフォント、アニメーションまたはそのほかのリッチ コンテンツを含むことはできません。さらに次の影響があります。

• 変更はプレビュー ウィンドウおよび開いているメッセージに適用されます。
• 画像は、失われないように添付ファイルとなります。
• メッセージは保存場所では依然としてリッチ テキスト形式、または HTML 形式であるため、オブジェクト モデル (カスタムコード ソリューション) が予期しない動作をする場合があります。

どのようなことが起こる可能性がありますか?
Windows メールにリモートでコードが実行される脆弱性が存在します。攻撃者は、特別に細工した電子メールのメッセージを作成し、ユーザーが電子メールのメッセージのリンクをクリックした場合、ローカル ファイルまたは UNC パスからコードを実行することにより、この脆弱性を悪用する可能性があります。攻撃者によりこの脆弱性が悪用された場合、影響を受けるコンピュータが完全に制御される可能性があります。

何が原因で起こりますか?
ローカルまたは UNC のナビゲーションのリクエストが Windows メールで正しく処理されないために起こります。

この脆弱性により、攻撃者は何を行う可能性がありますか?
攻撃者はこの脆弱性を悪用し、影響を受けるコンピュータを完全に制御する可能性があります。

攻撃者はこの脆弱性をどのように悪用する可能性がありますか?
攻撃者は、Windows メールを介してこの脆弱性を悪用するために特別に細工された電子メールをホストする可能性があります。攻撃者は、攻撃者のファイル サーバーにユーザーを誘導する電子メール メッセージ内のリンクをユーザーにクリックさせようとします。

主にどのようなコンピュータがこの脆弱性による危険にさらされますか?
Windows Vista の Windows メールを頻繁に使用するすべてのコンピュータが、影響を受ける可能性があります。別の Windows のバージョンの Outlook Express は、この脆弱性による影響を受けません。

この更新プログラムはどのように問題を修正しますか?
この更新プログラムは Windows メールがナビゲーションのリクエストを正しく解釈するように変更し、この脆弱性を排除します。

このセキュリティ情報のリリース時に、この脆弱性は一般に公開されていましたか?
はい。この脆弱性は一般に知られていました。これは Common Vulnerability and Exposure の CVE-2007-1658 にアサインされています。

このセキュリティ情報の公開時に、マイクロソフトはこの脆弱性が悪用されたという報告を受けていましたか?
いいえ。マイクロソフトは、このセキュリティ情報が最初に公開された時に、公開された検証用コードの例の存在を確認していましたが、この脆弱性が悪用され、お客様が攻撃されたということを示す情報は受けていませんでした。

このセキュリティ更新プログラムを適用すると、この脆弱性を悪用しようとする既に公開されている検証用コードからお客様を保護する手助けとなりますか?
はい。このセキュリティ更新プログラムは公開された検証用コードにより悪用される可能性のある脆弱性を解決します。解決される脆弱性は Common Vulnerability and Exposure の番号 CVE-2007-1658 に割り当てられています。

「問題を緩和する要素」とは、設定、一般的な構成または一般的な最善策、既定の状態での存在を指し、これにより脆弱性の悪用の深刻度が低くなる可能性があります。次の問題を緩和する要素は、お客様の状況で役立つ場合があります。

• Web ベースの攻撃のシナリオで、攻撃者はこれらの脆弱性の悪用を意図した Web ページを含む Web サイトをホストする可能性があります。さらに、ユーザーにより提供されたコンテンツを受け入れるまたはホストする Web サイト、または侵害された Web サイトおよび広告サーバーにこの脆弱性を悪用する可能性のある特別な細工がされたコンテンツが含まれる可能性があります。しかし、すべての場合において、攻撃者は強制的にユーザーにこれらの Web サイトを訪問させる方法はありません。その代わり、通常、ユーザーに攻撃者の Web サイトに接続させる電子メール メッセージまたはインスタント メッセンジャのメッセージ内のリンクをクリックさせることにより、ユーザーを攻撃者の Web サイトに訪問させることが攻撃者にとっての必要条件となります。
• 既定で、Windows Server 2003 上の Internet Explorer は、「セキュリティ強化の構成」と呼ばれる制限されたモードで実行されます。このモードはインターネット ゾーンのセキュリティ レベルを「高」に設定します。これは、Internet Explorer の信頼済みサイト ゾーンに追加されていない Web サイトに対する「緩和する要素」です。Internet Explorer のセキュリティ強化の構成に関する詳細情報については、この脆弱性に関する「よく寄せられる質問」のサブ セクションをご覧ください。

回避策とは根本となる脆弱性は修正しませんが、更新プログラム適用前に既知の攻撃の方法を阻止する手助けとなる設定または構成の変更です。マイクロソフトは次の回避策をテストしました。また、回避策が機能を削減するかどうかを次に記載します。

• MHTML プロトコルハンドラを無効にする

  プロトコル ハンドラを無効にするには、次のステップを行ってください。

  1. [スタート] をクリックし、[ファイル名を指定して実行] をクリックします。テキストボックスに [regedit.exe] と入力し、[OK] をクリックします。
  2. HKEY_CLASSES_ROOT\CLSID\{05300401-BCBC-11d0-85E3-00C04FD85AB4} へ移動します。
  3. {05300401-BCBC-11d0-85E3-00C04FD85AB4} を右クリックし、[アクセス許可] を選択します。
  4. [詳細設定] をクリックします。
  5. [親からの継承可能なアクセス許可をこのオブジェクトとすべての子オブジェクトに伝達できるようにします...] のチェックをはずします。
  6. [削除] をクリックし、次に [OK] をクリックします。[はい] をクリックし、続きのウィンドウで [OK] をクリックします。

  回避策の影響 : この回避策は MHTML Web ページについてページのレンダリングを無効にします。

  回避策の解除方法：

  MHTML プロトコル ハンドラを有効にするには、次のステップを行ってください。

1. [スタート] をクリックし、[ファイル名を指定して実行] をクリックします。テキストボックスに [regedit.exe] と入力し、[OK] をクリックします。
2. HKEY_CLASSES_ROOT\CLSID\{05300401-BCBC-11d0-85E3-00C04FD85AB4} へ移動します。
3. {05300401-BCBC-11d0-85E3-00C04FD85AB4} を右クリックし、[アクセス許可] を選択します。
4. [詳細設定] をクリックします。
5. [親からの継承可能なアクセス許可をこのオブジェクトとすべての子オブジェクトに伝達できるようにします...] をチェックします。
6. [OK] をクリックしてから、再度 [OK] をクリックします。

• インターネットおよびローカルイントラネットゾーンの設定を「高」に設定し、これらのゾーンでアクティブスクリプトを実行する前にダイアログを表示する

  インターネット セキュリティ ゾーンの設定を変更し、アクティブ スクリプトが実行される前にダイアログが表示されるようにすると、この脆弱性に対する保護の手助けとなります。ブラウザのセキュリティ設定を「高」に設定することによってこれを行うことができます。

  Microsoft Internet Explorer のブラウザのセキュリティ レベルを上げるには、以下のステップにしたがってください。

  1. Internet Explorer で [ツール] をクリックし、[インターネット オプション] をクリックします。
  2. [インターネット オプション] ダイアログ ボックスで、[セキュリティ] タブをクリックし、次に [インターネット] アイコンをクリックします。
  3. [このゾーンのセキュリティのレベル] の下のスライダのつまみを「高」まで移動させます。これにより、訪問するすべての Web サイトのセキュリティ レベルが「高」に設定されます。

  注: スライダが表示されていない場合、[既定のレベル] ボタンをクリックし、次にスライダを「高」に移動させます。

  注: セキュリティ レベルを「高」に設定すると、Web ページが正しく動作しない場合があります。この設定の変更後、Web サイトの使用が困難になり、そのサイトが安全であると確信できる場合は、そのサイトを [信頼済みサイト] に追加することができます。これにより、そのサイトは、セキュリティが「高」に設定されていても、適切に実行されるようになります。

  回避策の影響: ActiveX コントロールおよびアクティブ スクリプトを実行する前にダイアログを表示すると、別の影響があります。インターネットまたはイントラネット上の多くの Web サイトはActiveX またはアクティブ スクリプトを使用して、追加の機能を提供します。たとえば、オンラインの電子商取引またはバンキング サイトには ActiveX コントロールを使用して、メニュー、注文書、計算書などを提供しているものもあります。ActiveX コントロールまたはアクティブ スクリプトを実行する前にダイアログを表示する設定は、すべてのインターネットおよびイントラネット サイトに影響を及ぼすグローバル設定です。この回避策を行うと、ダイアログが頻繁に表示されます。各ダイアログ表示で、訪問している Web サイトを信頼できると考える場合、[はい] をクリックして ActiveX コントロールまたはアクティブ スクリプトを実行してください。これらのすべての Web サイトでダイアログを表示する必要がない場合、「信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する」で説明されているステップを行ってください。

• 信頼する Web サイトを Internet Explorer の信頼済みサイトゾーンに追加する

  インターネット ゾーンおよびローカル イントラネット ゾーンで ActiveX コントロールおよびアクティブ スクリプトが実行される前にダイアログが表示されるように設定した後、信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加することができます。これにより、信頼されていない Web サイトからのこの攻撃から保護する手助けを行いながら、現在使用しているのとまったく同様に、信頼する Web サイトを引き続き使用することができます。マイクロソフトは信頼される Web サイトのみを [信頼済み] サイト ゾーンに追加することを推奨します。

  これを行うためには、次のステップに従ってください。

  1. Internet Explorer で [ツール] をクリックし、[インターネット オプション] をクリックします。次に [セキュリティ] タブをクリックします。
  2. [Web コンテンツのゾーンを選択してセキュリティのレベルを設定する] で、[信頼済みサイト] をクリックし、次に [サイト] をクリックします。
  3. 暗号化されたチャネルを必要としない Web サイトを追加したい場合、[このゾーンのサイトにはすべてサーバーの確認 (https:) を必要とする] のチェック ボックスをクリックし、チェックを外します。
  4. [次の Web サイトをゾーンに追加する] で、信頼する Web サイトの URL を入力し、次に [追加] ボタンをクリックします。
  5. ゾーンに追加したい各 Web サイトについて、これらのステップを繰り返します。
  6. [OK] を 2 回クリックし、変更を受け入れ、Internet Explorer に戻ります。

  注: 悪意のある動作がコンピュータ上で行われないと信頼できるサイトをすべて追加します。なお、特に追加すべき 2 つの Web サイトは “*.windowsupdate.microsoft.com” および “*.update.microsoft.com” です。(二重引用符は必要ありません)これらはセキュリティ更新プログラムをホストする Web サイトで、セキュリティ更新プログラムをインストールするためには ActiveX コントロールを必要とします。

  回避策の解除方法：

  Web サイトを信頼するサイトのセキュリティ ゾーンから削除する場合は、次のステップを行ってください。

  1. Internet Explorer で [ツール] をクリックし、[インターネット オプション] をクリックします。次に [セキュリティ] タブをクリックします
  2. [Web コンテンツのゾーンを選択してセキュリティのレベルを設定する] で、[信頼済みサイト] をクリックし、次に [サイト] をクリックします。
  3. Web サイトのボックスで、削除したい Web サイト名をクリックします。
  4. [削除] ボタンをクリックしてから、[OK] を 2 回クリックします。
  5. 削除したいそれぞれの Web サイトに対して、このステップを繰り返してください。
  6. [OK] を 2 回クリックし、変更を受け入れ、Internet Explorer に戻ります。

どのようなことが起こる可能性がありますか?
これは情報漏えいの脆弱性です。攻撃者は、ユーザーが特別に細工された Web サイトを訪問、または電子メール メッセージのリンクをクリックした場合に、情報漏えいが起こる可能性のある特別な細工がされた Web ページを作成することにより、この脆弱性を悪用する可能性があります。この脆弱性で、攻撃者により別の Internet Explorer のドメインからデータが読み取られる可能性があります。

何が原因で起こりますか?
Internet Explorer をリダイレクトするために Windows MHTML プロトコル ハンドラを使用している不明瞭な種類のコンテンツを解析する URL により、MHTML のプロトコル ハンドラが不正確に MHTML コンテンツの HTTP のヘッダーを解釈することが原因で起こります。

どうして、Outlook Express のセキュリティ情報に MHTML リダイレクトの脆弱性があるのですか?
この攻撃手段は、Web ブラウザを介するため、実際の脆弱性は Outlook Express のコンポーネントにあります。

MHTML とは何ですか?
MHTML (MIME Encapsulation of Aggregate HTML) は、HTML のコンテンツをまとめるために使用される MIME の構造を定義するインターネットの標準です。Windows の MHTML のプロトコル ハンドラは、Outlook Express の一部で、アプリケーションで MHTML のエンコード化されたドキュメントがレンダリングされる URL の形式 (MHTML://) を提供します。従って、Internet Explorer のようなアプリケーションは Outlook Express を使用して、MTHML のエンコード化されたドキュメントを処理します。

この脆弱性により、攻撃者は何を行う可能性がありますか?
この脆弱性で、攻撃者により Internet Explorer の別のセキュリティ ゾーンまたは Internet Explorer のドメインからデータが読み取られる可能性があります。

Internet Explorer のセキュリティゾーンとは何ですか？
セキュリティ ゾーンとは、オンライン コンテンツをカテゴリ、またはその信頼度に基づいたゾーンに分類するシステムの一部です。各ドメインのコンテンツに対する信頼性を基準に、特定のドメインをゾーンに割り当てることができます。割り当てると、ゾーンのポリシーに基づき、Web コンテンツの機能が制限されます。既定では、ほとんどのインターネット ドメインは、インターネット ゾーンの一部として扱われます。既定で、インターネット ゾーンのポリシーによって、スクリプトやそのほかのアクティブなコードが、ローカル コンピュータ上のリソースにアクセスができないようにされています。

攻撃者はこの脆弱性をどのように悪用する可能性がありますか?
攻撃者は、Internet Explorer を介してこれらの脆弱性を悪用するために設計された、特別に細工した Web サイトをホストし、そのユーザーがその Web サイトを表示するように誘導する可能性があります。これにはユーザーが提供したコンテンツまたは広告を受け入れる Web サイト、ユーザーが提供したコンテンツまたは広告をホストする Web サイトおよび侵害された Web サイトなどが含まれる可能性があります。これらの Web サイトには、この脆弱性を悪用しようとする特別な細工がされたコンテンツが含まれている場合があります。しかし、攻撃者が強制的にユーザーにこれらの Web サイトを訪問させる方法はありません。その代わり、通常、ユーザーに攻撃者の Web サイトに接続させる電子メール メッセージまたはインスタント メッセンジャのリクエスト内のリンクをクリックさせることにより、ユーザーを Web サイトに訪問させることが攻撃者にとっての必要条件となります。

主にどのようなコンピュータがこの脆弱性による危険にさらされますか?
この脆弱性が悪用され、悪意のある操作が行われるには、ユーザーがログオンし、Web サイトを訪問していることが攻撃者にとっての必要条件となります。このため、ワークステーションまたはターミナル サーバーなど、Internet Explorer を頻繁に使用するコンピュータが、この脆弱性による危険に最もさらされます。

この更新プログラムはどのように問題を修正しますか?
この更新プログラムは Windows の MHTML プロトコル ハンドラを使用して、不明瞭な形式のコンテンツを正しく解釈することにより、この脆弱性を排除します。

このセキュリティ情報の公開時に、この脆弱性は一般に知られていましたか?
いいえ。マイクロソフトは信頼のおける情報元からこの脆弱性に関する情報を受けました。マイクロソフトは、このセキュリティ情報が最初に公開された際に、この脆弱性が一般に知られていたという情報は受けていませんでした。

「問題を緩和する要素」とは、設定、一般的な構成または一般的な最善策、既定の状態での存在を指し、これにより脆弱性の悪用の深刻度が低くなる可能性があります。次の問題を緩和する要素は、お客様の状況で役立つ場合があります。

• Web ベースの攻撃のシナリオで、攻撃者はこれらの脆弱性の悪用を意図した Web ページを含む Web サイトをホストする可能性があります。さらに、ユーザーにより提供されたコンテンツを受け入れるまたはホストする Web サイト、または侵害された Web サイトおよび広告サーバーにこの脆弱性を悪用する可能性のある特別な細工がされたコンテンツが含まれる可能性があります。しかし、すべての場合において、攻撃者は強制的にユーザーにこれらの Web サイトを訪問させる方法はありません。その代わり、通常、ユーザーに攻撃者の Web サイトに接続させる電子メール メッセージまたはインスタント メッセンジャのメッセージ内のリンクをクリックさせることにより、ユーザーを攻撃者の Web サイトに訪問させることが攻撃者にとっての必要条件となります。
• 既定で、Windows Server 2003 上の Internet Explorer は、「セキュリティ強化の構成」と呼ばれる制限されたモードで実行されます。このモードにより、この脆弱性の影響が緩和されます。Internet Explorer のセキュリティ強化の構成に関する詳細情報については、この脆弱性に関する「よく寄せられる質問」のサブ セクションをご覧ください。

回避策とは根本となる脆弱性は修正しませんが、更新プログラム適用前に既知の攻撃の方法を阻止する手助けとなる設定または構成の変更です。マイクロソフトは次の回避策をテストしました。また、回避策が機能を削減するかどうかを次に記載します。

• MHTML プロトコルハンドラを無効にする

  プロトコル ハンドラを無効にするには、次のステップを行ってください。

  1. [スタート] をクリックし、[ファイル名を指定して実行] をクリックします。テキストボックスに [regedit.exe] と入力し、[OK] をクリックします。
  2. HKEY_CLASSES_ROOT\CLSID\{05300401-BCBC-11d0-85E3-00C04FD85AB4} へ移動します。
  3. {05300401-BCBC-11d0-85E3-00C04FD85AB4} を右クリックし、[アクセス許可] を選択します。
  4. [詳細設定] をクリックします。
  5. [親からの継承可能なアクセス許可をこのオブジェクトとすべての子オブジェクトに伝達できるようにします...] のチェックをはずします。
  6. [削除] をクリックし、次に [OK] をクリックします。[はい] をクリックし、続きのウィンドウで [OK] をクリックします。

  回避策の影響 : この回避策は MHTML Web ページについてページのレンダリングを無効にします。

  回避策の解除方法：

  MHTML プロトコル ハンドラを有効にするには、次のステップを行ってください。

  1. [スタート] をクリックし、[ファイル名を指定して実行] をクリックします。テキストボックスに [regedit.exe] と入力し、[OK] をクリックします。
  2. HKEY_CLASSES_ROOT\CLSID\{05300401-BCBC-11d0-85E3-00C04FD85AB4} へ移動します。
  3. {05300401-BCBC-11d0-85E3-00C04FD85AB4} を右クリックし、[アクセス許可] を選択します。
  4. [詳細設定] をクリックします。
  5. [親からの継承可能なアクセス許可をこのオブジェクトとすべての子オブジェクトに伝達できるようにします...] をチェックします。
  6. [OK] をクリックしてから、再度 [OK] をクリックします。
• Internet Explorer をインターネットおよびイントラネットゾーンでアクティブスクリプトが実行される前にダイアログを表示するように構成する、またはアクティブスクリプトを無効にするよう構成する

  アクティブ スクリプトが実行される前にダイアログが表示されるよう、またはインターネットおよびローカルのイントラネット セキュリティ ゾーンでアクティブ スクリプトを無効にするよう設定を変更することにより、この脆弱性に対する保護の手助けを行うことができます。これを行うためには、次のステップに従ってください。

  1. Internet Explorer で、[ツール] メニューから [インターネット オプション] をクリックします。
  2. [セキュリティ] タブをクリックします。
  3. [インターネット] のアイコンをクリックし、次に [レベルのカスタマイズ] ボタンをクリックします。
  4. [設定] の [スクリプト] セクションの [アクティブ スクリプト] で [ダイアログを表示する] または [無効にする] をクリックします。次に [OK] をクリックします。
  5. [イントラネット] をクリックし、[レベルのカスタマイズ] をクリックします。
  6. [設定] の [スクリプト] セクションの [アクティブ スクリプト] で [ダイアログを表示する] または [無効にする] をクリックします。次に [OK] をクリックします。
  7. [OK] を 2 回クリックし、Internet Explorer に戻ります。

  注: インターネットおよびイントラネットのセキュリティ ゾーンで Active スクリプトを無効にすると、Web サイトが正しく動作しなくなる場合があります。この設定の変更後、Web サイトの使用が困難になり、そのサイトが安全であると確信できる場合は、そのサイトを [信頼済みサイト] に追加することができます。これにより、その Web サイトは正しく動作するようになります。

• 信頼する Web サイトを Internet Explorer の信頼済みサイトゾーンに追加する

  インターネット ゾーンおよびローカル イントラネット ゾーンで ActiveX コントロールおよびアクティブ スクリプトが実行される前にダイアログが表示されるように設定した後、信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加することができます。これにより、信頼されていない Web サイトからのこの攻撃から保護する手助けを行いながら、現在使用しているのとまったく同様に、信頼する Web サイトを引き続き使用することができます。マイクロソフトは信頼される Web サイトのみを [信頼済み] サイト ゾーンに追加することを推奨します。

  これを行うためには、次のステップに従ってください。

  1. Internet Explorer で [ツール] をクリックし、[インターネット オプション] をクリックします。次に [セキュリティ] タブをクリックします。
  2. [Web コンテンツのゾーンを選択してセキュリティのレベルを設定する] で、[信頼済みサイト] をクリックし、次に [サイト] をクリックします。
  3. 暗号化されたチャネルを必要としない Web サイトを追加したい場合、[このゾーンのサイトにはすべてサーバーの確認 (https:) を必要とする] のチェック ボックスをクリックし、チェックを外します。
  4. [次の Web サイトをゾーンに追加する] で、信頼する Web サイトの URL を入力し、次に [追加] ボタンをクリックします。
  5. ゾーンに追加したい各 Web サイトについて、これらのステップを繰り返します。
  6. [OK] を 2 回クリックし、変更を受け入れ、Internet Explorer に戻ります。

  注: 悪意のある動作がコンピュータ上で行われないと信頼できるサイトをすべて追加します。なお、特に追加すべき 2 つの Web サイトは “*.windowsupdate.microsoft.com” および “*.update.microsoft.com” です。(二重引用符は必要ありません)これらはセキュリティ更新プログラムをホストする Web サイトで、セキュリティ更新プログラムをインストールするためには ActiveX コントロールを必要とします。回避策の影響: アクティブ スクリプトを実行する前にダイアログを表示すると、別の影響があります。インターネットまたはイントラネット上の多くの Web サイトはアクティブ スクリプトを使用して、追加の機能を提供しています。たとえば、オンラインの電子商取引またはバンキング サイトにはアクティブ スクリプトを使用して、メニュー、注文書、計算書などを提供しているものもあります。アクティブ スクリプトを実行する前にダイアログを表示する設定は、すべてのインターネットおよびイントラネット サイトに影響を及ぼすグローバル設定です。この回避策を行うと、ダイアログが頻繁に表示されます。各ダイアログ表示で、訪問している Web サイトを信頼できると考える場合、[はい] をクリックしてアクティブ スクリプトを実行してください。これらのすべての Web サイトでダイアログを表示する必要がない場合、「信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する」で説明されているステップを行ってください。

どのようなことが起こる可能性がありますか?
この脆弱性により、攻撃者は Internet Explorer のファイルのダウンロードのダイアログ ボックスを回避する可能性があります。攻撃者は特別な細工がされた Web ページを作成することにより、この脆弱性を悪用する可能性があります。ユーザーが Internet Explorer を使用して Web ページを表示した場合、この脆弱性により情報漏えいが起こる可能性があります。この脆弱性で、攻撃者により別の Internet Explorer のドメインからデータが読み取られる可能性があります。

何が原因で起こりますか?
この攻撃手段は、Web ブラウザを介するため、実際の脆弱性は Outlook Express のコンポーネントにあります。

どうして、Outlook Express のセキュリティ情報に MHTML リダイレクトの脆弱性があるのですか?
この攻撃手段は、Web ブラウザを介するため、実際の脆弱性は Outlook Express にあります。

MHTML とは何ですか?
MHTML (MIME Encapsulation of Aggregate HTML) は、HTML のコンテンツをまとめるために使用される MIME の構造を定義するインターネットの標準です。Windows の MHTML のプロトコル ハンドラは、Outlook Express の一部で、アプリケーションで MHTML のエンコード化されたドキュメントがレンダリングされる URL の形式 (MHTML://) を提供します。従って、Internet Explorer のようなアプリケーションは Outlook Express を使用して、MTHML のエンコード化されたドキュメントを処理します。

この脆弱性により、攻撃者は何を行う可能性がありますか?
この脆弱性で、攻撃者により Internet Explorer の別のセキュリティ ゾーンまたは Internet Explorer のドメインからデータが読み取られる可能性があります。

Internet Explorer のセキュリティゾーンとは何ですか？
Internet Explorer のセキュリティ ゾーンとは、オンライン コンテンツをカテゴリ、またはその信頼度に基づいたゾーンに分類するシステムの一部です。各ドメインのコンテンツに対する信頼性を基準に、特定のドメインをゾーンに割り当てることができます。割り当てると、ゾーンのポリシーに基づき、Web コンテンツの機能が制限されます。既定では、ほとんどのインターネット ドメインは、インターネット ゾーンの一部として扱われます。既定で、インターネット ゾーンのポリシーによって、スクリプトやそのほかのアクティブなコードが、ローカル コンピュータ上のリソースにアクセスができないようにされています。

攻撃者はこの脆弱性をどのように悪用する可能性がありますか?
攻撃者は Internet Explorer を介しこの脆弱性を悪用することを目的として設計された特別な細工がされた Web サイトをホストし、ユーザーをその Web サイトに訪問させる可能性があります。これにはユーザーが提供したコンテンツまたは広告を受け入れる Web サイト、ユーザーが提供したコンテンツまたは広告をホストする Web サイトおよび侵害された Web サイトなどが含まれる可能性があります。これらの Web サイトには、この脆弱性を悪用しようとする特別な細工がされたコンテンツが含まれている場合があります。しかし、攻撃者が強制的にユーザーにこれらの Web サイトを訪問させる方法はありません。その代わり、通常、ユーザーに攻撃者の Web サイトに接続させる電子メール メッセージまたはインスタント メッセンジャのリクエスト内のリンクをクリックさせることにより、ユーザーを Web サイトに訪問させることが攻撃者にとっての必要条件となります。

主にどのようなコンピュータがこの脆弱性による危険にさらされますか?
この脆弱性が悪用され、悪意のある操作が行われるには、ユーザーがログオンし、Web サイトを訪問していることが攻撃者にとっての必要条件となります。このため、ワークステーションまたはターミナル サーバーなど、Internet Explorer を頻繁に使用するコンピュータが、この脆弱性による危険に最もさらされます。

この更新プログラムはどのように問題を修正しますか?
この更新プログラムは、MHTML プロトコル ハンドラが正しく Internet Explorer にコンテンツの場所を通知するよう変更して、脆弱性を削除します。

このセキュリティ情報の公開時に、この脆弱性は一般に知られていましたか?
いいえ。マイクロソフトは信頼のおける情報元からこの脆弱性に関する情報を受けました。マイクロソフトは、このセキュリティ情報が最初に公開された際に、この脆弱性が一般に知られていたという情報は受けていませんでした。

参照表

次の表には、このソフトウェアのセキュリティ更新プログラムに関する情報が含まれています。追加情報については、このセクションのサブセクション「展開に関する情報」をご覧ください。

参照表

次の表には、このソフトウェアのセキュリティ更新プログラムに関する情報が含まれています。追加情報については、このセクションのサブセクション「展開に関する情報」をご覧ください。

参照表

次の表には、このソフトウェアのセキュリティ更新プログラムに関する情報が含まれています。追加情報については、このセクションのサブセクション「展開に関する情報」をご覧ください。