マイクロソフト セキュリティ情報 MS09-003 - 緊急

なぜこのセキュリティ情報は 2009 年 5 月 27 日に再リリースされたのですか?
マイクロソフトは、このセキュリティ更新プログラムについての検出の変更をお知らせするために、このセキュリティ情報を更新しました。今回の修正により、検出の際に、Exchange サービスのインスタンスが有効にされていない Exchange Server 2003 用 Exchange システム管理ツールを実行しているシステムにも Microsoft Exchange Server 2003 Service Pack 2 (KB959897) の更新プログラムが提供されます。以前、この構成ではセキュリティ更新プログラムが提供されませんでした。これらのシステムにサポート技術情報 (KB959897) の更新プログラムを正常にインストールしたお客様は、この更新プログラムを再インストールする必要はありません。

なぜこのセキュリティ情報は 2009 年 2 月 17 日に更新されたのですか?
マイクロソフトはこのセキュリティ情報を再リリースし、影響を受けるソフトウェアの一覧に Microsoft Exchange Server MAPI クライアントを追加しました。この再リリースによる、別の更新プログラムのパッケージへの影響はありません。他のすべてのサポートされている、および影響を受けるバージョンの Microsoft Exchange Server を実行していて、既に更新前のセキュリティ更新プログラムのパッケージを適用しているお客様は、今回新たに必要な対応はありません。また、マイクロソフトはこのセキュリティ情報を更新し、「このセキュリティ更新プログラムに関するよく寄せられる質問 (FAQ)」のセクションに、Microsoft Exchange Server MAPI クライアントおよび Exchange System 管理ツールの更新に関連するエントリをいくつか追加しました。

Microsoft Exchange Server MAPI クライアントの古いバージョンを使用していますが、どのようにバージョン 6.5.8069 へ更新すればよいですか?
マイクロソフトの ダウンロード センター (英語情報) では、Microsoft Exchange Server MAPI クライアントのバージョン 6.5.8069 を使用しているユーザー向け更新プログラムを無償で提供しています。そのため、古いバージョンの Microsoft Exchange Server MAPI クライアントおよび Collaboration Data Objects 1.2.1 のパッケージを使用しているすべてのお客様は、バージョン 6.5.8069 に更新し、このセキュリティ情報で説明している脆弱性から防御する必要があります。

Microsoft Exchange Server MAPI クライアント用の更新プログラムのパッケージには、CDO 1.2.1 も含まれています。CDO 1.2.1 は、このセキュリティ情報で説明している脆弱性の影響を受けますか?
Microsoft Exchange Server MAPI クライアントのダウンロードには、Collaboration Data Objects (CDO) 1.2.1 のパッケージが含まれています。CDO 1.2.1 のパッケージは、このセキュリティ情報で説明している脆弱性の影響を受けません。便宜を図るため、このパッケージがダウンロードに含まれています。

Microsoft Exchange Server MAPI クライアントおよび Collaboration Data Objects 1.2.1 をシステムにインストールしているかどうかを確認するには、どうすればよいですか?
[コントロール パネル] の [プログラムの追加と削除] (Windows Server 2003 およびそれ以前のバージョン) または ［プログラムと機能］ (Windows Vista および Windows Server 2008) の “Messaging API および Collaboration Data Objects 1.2.1” のエントリをチェックします。

ダウンロード センターから利用可能な Microsoft Exchange Server MAPI クライアントおよび Collaboration Data Objects 1.2.1 用の 2 種類の更新プログラムは同じ名称です。この 2 種類には違いがありますか?
いいえ。違いはありません。次のページのどちらからでも MAPI クライアントをダウンロード可能です。
Microsoft Exchange Server MAPI クライアントおよび Collaboration Data Objects 1.2.1 (英語情報)
Microsoft Exchange Server MAPI クライアントおよび Collaboration Data Objects 1.2.1 (英語情報)

Exchange Server 2003 用 Exchange システム管理ツールを使用している場合、コンピューターはこの脆弱性の影響を受けますか?
Exchange Server 2003 用の Microsoft Exchange システム管理ツールには影響を受けるコードが含まれていますが、コードが悪用される可能性があるのは、サーバーが Exchange サービスのアクティブ インスタンスも実行している場合のみです。 このため、Exchange Server 2003 用の Microsoft Exchange システム管理ツールのみを実行しており、Exchange サービスのアクティブ インスタンスを有効にしているお客様は、Exchange Server 2003 Service Pack 2 (KB959897) のセキュリティ更新プログラムをインストールし、このセキュリティ情報で説明している脆弱性に対する保護を行う必要があります。

Exchange サービスが無効である場合、このセキュリティ情報で説明している脆弱性の攻撃方法は悪用されませんが、多層防御の対策として Exchange Server 2003 Service Pack 2 (KB959897) 用のセキュリティ更新プログラムをインストールすることができます。

サード パーティのアプリケーションを開発しており、アプリケーションの使用要件として、お客様に Exchange Server 2003 用 Exchange システム管理ツールをインストールすることを推奨しています。お客様はどのように更新すればよいですか?
Exchange Server 2003 用の Exchange システム管理ツールのみを実行しているお客様は、Exchange Server 2003 Service Pack 2 (KB959897) のセキュリティ更新プログラムをインストールし、このセキュリティ情報で説明している脆弱性に対する保護を行うことができます。

Windows Vista 用の Exchange システム マネージャをインストールしています。このシステムは影響を受けますか?
Windows Vista の Exchange システム マネージャは、Windows Vista のオペレーティング システムの Exchange Server 2003 用 Exchange システム マネージャを実行している場合に利用可能です。Windows Vista の Exchange システム マネージャは、このセキュリティ情報で説明している脆弱性の影響を受けませんが、Microsoft Exchange Server MAPI クライアントおよび Collaboration Data Objects 1.2.1 は Windows Vista の Exchange システム マネージャのインストール要件です。そのため、Windows Vista の Exchange システム マネージャを実行している場合、システムで実行している Microsoft Exchange Server MAPI クライアントおよび Collaboration Data Objects 1.2.1 を最新のバージョンに更新してください。

Microsoft Exchange Server 2007 のサービスモデルと Microsoft Exchange Server 2003 の違いは何ですか? また、このセキュリティ情報の更新プログラムに与える影響はどう違うのですか?
Microsoft Exchange Server 2007 のリリースと同時に、Microsoft Exchange Server はお客様のフィードバックおよび他のマイクロソフト製品のサービス モデルとの互換性に基づき、新たなサービス モデルに移行しました。Exchange Server 2007 の更新プログラムは、提供された更新プログラムのレベルと各ファイル レベルの両方が累積されたものですが、Exchange Server 2003 の更新プログラムはファイル レベルに限り累積されています。
Microsoft Exchange Server のサービス モデルに関する詳細な説明は、Exchange Server 2007 の製品サービスの方針をご覧ください。新しい Exchange Server のサービス モデルについての質問は、マイクロソフト製品サポート サービスをご覧ください。

Exchange 2007 ベースのサービス向けの更新プログラムのロールアップのパッケージをインストールする際に、特定の順番でインストールする必要がありますか?
マイクロソフトのテストのインフラストラクチャは、複数のサーバー ロールで更新プログラムを実行することを確認するのに役立ちます。従って、異なるロールを実行している Exchange Server に、更新プログラムのロールアップ パッケージを適用する際に、特定の順番でインストールする必要はありません。しかし、お客様の環境の Exchange 2007 ベースの各サーバーに更新プログラムのロールアップ パッケージを適用する必要があります。更新プログラムのロールアップ パッケージは、異なる Exchange のロールで使用する、または特定のファイル構成で使用するために分けられていないことも事実です。

CAS Proxy Deployment Guidance ユーザーの場合、および CAS-CAS Proxying を展開している場合、インターネットに直接接続していない Client Access サーバーに適用する前に、インターネットに直接接続している Client Access サーバーに更新プログラムのロールアップを適用します。Exchange Server 2007 の別の構成については、更新プログラムのロールアップをサーバーに適用する順番は重要でありません。

CAS-CAS Proxying に関する詳細情報は プロキシとリダイレクトについてをご覧ください。

なぜこの更新プログラムはいくつかの報告されたセキュリティ上の脆弱性を解決するのですか?
これらの問題を解決するために必要な変更が関連するファイルに存在するため、この更新プログラムはいくつかの脆弱性を解決します。ユーザーは、ほぼ同一のファイルを含むいくつもの更新プログラムをインストールする代わりに、この更新プログラムのみをインストールすることができます。

このセキュリティ情報で説明されているソフトウェアの旧バージョンを使用していますが、どうしたらよいですか?
このセキュリティ情報に記載されている影響を受けるソフトウェアのテストを行い、この脆弱性による影響を評価しました。そのほかのバージョンについてはサポート ライフサイクルが終了しています。ご使用中の製品およびバージョンのサポート ライフサイクルを確認するためには、マイクロソフト サポート ライフサイクルの Web サイトをご覧ください。

今後の脆弱性の影響を受ける可能性を防ぐため、旧バージョンのソフトウェアを使用しているお客様は、サポート対象のバージョンに移行することを強く推奨します。Windows 製品のサポート ライフサイクルに関する詳細情報は、マイクロソフト サポート ライフサイクルをご覧ください。これらのオペレーティング システムのサポート対象サービス パックに関する情報は、こちらをご覧ください。

旧バージョンのソフトウェアに関するカスタムサポートが必要なお客様は、担当営業、またはマイクロソフト アカウント チームの担当者、担当テクニカル アカウント マネージャー (TAM)、またはカスタム サポート オプションのマイクロソフト パートナー担当者までご連絡ください。プレミア契約をお持ちでないお客様は、マイクロソフトサポート契約センター （営業時間 9:30-12:00 13:00-19:00 土日祝祭日を除く TEL:0120-17-0196 FAX:03-5388-8253） までお問い合わせください。連絡先の情報は、Microsoft Worldwide Information Web サイトの Contact Information のプルダウン リストから、国を選択し、[Go] ボタンをクリックすると、連絡先の電話番号が表示されます。お問い合わせの際、現地プレミア サポート営業担当にご連絡ください。詳細情報は、Windows オペレーティング システム FAQ をご覧ください。

次の深刻度の評価は脆弱性による影響が最大であった場合を前提としています。本セキュリティ情報のリリース後 30 日以内に予想される情報、深刻度およびセキュリティへの影響に関連する脆弱性の悪用に関する情報は、2 月のセキュリティ情報のサマリ の Exploitability Index をご覧ください。詳細情報は、Microsoft Exploitability Index (英語情報) をご覧ください。

Microsoft Exchange Server がメッセージの Transport Neutral Encapsulation Format (TNEF) のデータをデコードする方法に、リモートでコードが実行される脆弱性が存在します。

Common Vulnerabilities and Exposures のリストの標準のエントリとしてこの脆弱性をご覧になるためには、CVE-2009-0098 をご覧ください。

EMSMDB2 (Electronic Messaging System Microsoft Data Base、32 ビット) プロバイダーが無効な MAPI コマンドを処理する方法に、サービス拒否の脆弱性が存在します。攻撃者は、特別に作成した MAPI コマンドを EMSMDB32 プロバイダーを使用しているアプリケーションに送信し、この脆弱性を悪用する可能性があります。攻撃者によりこの脆弱性が悪用された場合、アプリケーションが応答しなくなる可能性があります。

また、EMSMDB32 プロバイダーを使用しているため、Microsoft Exchange System Attendant がこのサービス拒否の影響を受ける可能性があります。Microsoft Exchange System Attendant は Microsoft Exchange のコア サービスのひとつで、Exchange システムで継続中のメンテナンス関連のさまざまな機能を実行します。

Common Vulnerabilities and Exposures のリストの標準のエントリとしてこの脆弱性をご覧になるためには、CVE-2009-0099 をご覧ください。

組織のサーバー、デスクトップ、モバイル コンピューターに適用する必要があるソフトウェアおよびセキュリティ更新プログラムを管理してください。詳細情報は、TechNet 更新プログラム管理センターをご覧ください。TechNet セキュリティ センター Web サイトでは、製品に関するセキュリティ情報を提供しています。

セキュリティ更新プログラムは Microsoft Update、Windows Update および Office Update から利用可能です。セキュリティ更新プログラムはマイクロソフト ダウンロード センターからダウンロードすることができます。「セキュリティ更新プログラム」のキーワード探索によって容易に見つけることができます。

最後に、セキュリティ更新プログラムは Microsoft Update カタログからダウンロードできます。Microsoft Update カタログは、セキュリティ更新プログラム、ドライバーおよびサービスパックなどを含むコンテンツを検索可能なカタログで、Windows Update および Microsoft Update でご利用になれます。セキュリティ番号 (例えば “MS07-036” など) を使用して検索することにより、バスケットに適用可能な更新プログラムをすべて追加することができ (異なる言語の更新プログラムを含む)、選択しているフォルダーにダウンロードできます。「Microsoft Update カタログ」の関連情報を参照するには、Microsoft Update カタログ よく寄せられる質問をご覧ください。

検出および展開のガイダンス

マイクロソフトは今月のセキュリティ更新プログラム向けの検出および適用のガイダンスを提供しました。このガイダンスは、IT Pro がセキュリティ更新プログラムを適用する際に役立つ、Windows Update、Microsoft Update、Office Update、Microsoft Baseline Security Analyzer (MBSA)、Office 検出ツール。Microsoft Systems Management Server (SMS)、Extended Security Update Inventory Tool および Enterprise Update Scan Tool (EST) など、様々なツールの使用方法を理解するのに役立ちます。詳細情報は、サポート技術情報 910723 をご覧ください。

Microsoft Baseline Security Analyzer

Microsoft Baseline Security Analyzer (MBSA) により、管理者は一般的なセキュリティの誤構成だけでなく、不足しているセキュリティ更新プログラムについても、ローカルおよびリモートのコンピューターをスキャンできます。MBSA の詳細情報については。Microsoft Baseline Security Analyzer (MBSA) Web サイト をご覧ください。以下の表では、このセキュリティ更新プログラム用の MBSA が検出する概要を提供しています。

MBSA 2.1 の詳細情報は、MBSA 2.1 よく寄せられる質問をご覧ください。

Windows Server Update Services

Windows Server Update Services (WSUS) を使用することにより、管理者は Windows 2000 オペレーティング システムおよびそれ以降、Office XP およびそれ以降、Windows 2000 およびそれ以降のオペレーティング システムに対する Exchange Server 2003 およびそれ以降のバージョン、SQL Server 2000 およびそれ以降のバージョン用の最新の重要な更新プログラムおよびセキュリティ更新プログラムを迅速に、かつ確実に適用することができます。Windows Server Update Services でこのセキュリティ更新プログラムを適用する方法に関する情報は、次のマイクロソフトの Web サイト をご覧ください。Windows Server Update Services 製品概要

Systems Management Server

次の表に、このセキュリティ更新プログラムについての SMS の検出および展開のまとめを記載します。

SMS 2.0 および SMS 2003 では、SMS はセキュリティ更新プログラムの検出に Security Update Inventory Tool (SUIT) が含まれている SMS SUS Feature Pack (SUSFP) を使用します。詳細は、Systems Management Server 2.0 のダウンロードをご覧ください。

SMS 2003 について、SMS 2003 Inventory Tool for Microsoft Updates (ITMU) は、Microsoft Update により提供されるセキュリティ更新プログラムおよび Windows Server Update Services よりサポートされるセキュリティ更新プログラムを検出するために、SMS により使用されます。SMS 2003 ITMU に関する詳細は、次の マイクロソフトの Web サイト をご覧ください。また SMS 2003 も Microsoft Office Inventory Tool を使用して Microsoft Office アプリケーションに必要な更新プログラムを検出することができます。Office Inventory Tool および別のスキャンニング ツールに関する詳細情報は、SMS 2003 Software Update Scanning Tools (英語情報) をご覧ください。詳細は Downloads for Systems Management Server 2003 (英語情報) もご覧ください。

System Center Configuration Manager 2007 は更新プログラムの検出に WSUS 3.0 を使用します。Configuration Manager 2007 Software Update Management に関する詳細情報は、System Center Configuration Manager 2007 (英語情報) をご覧ください。

Update Compatibility Evaluator および Application Compatibility Toolkit

更新プログラムはアプリケーションを実行するにあたり必要となる同じファイルやレジストリ設定に頻繁に書き込みを行います。これにより、非互換性の原因となったり、セキュリティ更新プログラムの適用にかかる時間が長くなる可能性があります。Application Compatibility Toolkit 5.0 (英語情報) に含まれている Update Compatibility Evaluator (英語情報) コンポーネントでインストールされているアプリケーションに対し、Windows の更新プログラムのテストおよび確認を効率化することができます。Application Compatibility Toolkit (ACT) には、お客様の環境に Microsoft Windows Vista、Windows Update、Microsoft Security Update または Windows Internet Explorer の新しいバージョンを適用する前に、アプリケーションの互換性問題を評価するために必要なツールやドキュメントが含まれています。

影響を受けるソフトウェア

影響を受けるソフトウェアに関する特定のセキュリティ更新プログラムについての情報は、該当のリンクをご覧ください。