セキュリティ情報
Microsoft セキュリティ情報 MS09-013 - 重大
Windows HTTP サービスの脆弱性により、リモートでコードが実行される (960803)
公開日: 2009 年 4 月 14 日 |更新日: 2009 年 4 月 29 日
バージョン: 1.1
一般情報
概要
このセキュリティ更新プログラムは、一般に公開された 1 つの脆弱性と、Microsoft Windows HTTP Services (WinHTTP) で非公開で報告された 2 つの脆弱性を解決します。 最も深刻な脆弱性により、リモートでコードが実行される可能性があります。 攻撃者がこの脆弱性を悪用した場合、影響を受けるシステムを完全に制御できる可能性があります。 このような攻撃者はプログラムをインストールしたり、データの閲覧、変更、削除を行ったり、完全なユーザー権限を持つ新しいアカウントを作成したりできるようになります。 システム上でアカウントのユーザー権限が少なく構成されているユーザーは、管理ユーザー権限で作業するユーザーに比べて、受ける影響は少ない可能性があります。
このセキュリティ更新プログラムは、Microsoft Windows 2000、Windows XP、Windows Server 2003、Windows Vista、および Windows Server 2008 でサポートされているすべてのエディションで重大と評価されます。 詳細については、このセクションの「影響を受けるソフトウェア」および「影響を受けるソフトウェア」のサブセクションを参照してください。
このセキュリティ更新プログラムは、Windows HTTP サービスがエラーを処理して証明書を検証する方法を変更し、Windows HTTP サービスで NTLM 資格情報リフレクション保護メカニズムが正しく使用されるようにすることで、この脆弱性に対処します。 脆弱性の詳細については、次のセクション 「脆弱性情報」の下にある特定の脆弱性エントリについてよく寄せられる質問 (FAQ) サブセクションを参照してください。
推奨。 ほとんどのお客様は自動更新を有効にしており、このセキュリティ更新プログラムは自動的にダウンロードおよびインストールされるため、何も行う必要はありません。 自動更新を有効にしていないお客様は、更新プログラムをチェックし、この更新プログラムを手動でインストールする必要があります。 自動更新の特定の構成オプションについては、マイクロソフト サポート技術情報の記事294871を参照してください。
管理者と企業のインストール、またはこのセキュリティ更新プログラムを手動でインストールするエンド ユーザーの場合は、更新管理ソフトウェアを使用するか、Microsoft Update サービスを使用して更新プログラムをチェックして、更新プログラムを直ちに適用することをお勧めします。
このセキュリティ情報の後半の「検出と展開のツールとガイダンス」セクションも参照してください。
既知の問題。マイクロソフト サポート技術情報の記事960803 、このセキュリティ更新プログラムをインストールするときにお客様が経験する可能性がある現在の既知の問題について説明しています。 この記事では、これらの問題に対して推奨される解決策についても説明します。
影響を受けるソフトウェアと影響を受けないもの
次のソフトウェアは、影響を受けるバージョンまたはエディションを特定するためにテストされています。 その他のバージョンまたはエディションは、サポート ライフサイクルを過ぎたか、影響を受けません。 ソフトウェアのバージョンまたはエディションのサポート ライフサイクルを決定するには、Microsoft サポート ライフサイクルにアクセスしてください。
影響を受けるソフトウェア
| オペレーティング システム | セキュリティへの影響の最大値 | 重大度の評価の集計 | この更新プログラムに置き換えられたセキュリティ情報 |
|---|---|---|---|
| Microsoft Windows 2000 Service Pack 4 | リモート コードの実行 | 重大 | なし |
| Windows XP Service Pack 2 と Windows XP Service Pack 3 | リモート コードの実行 | 重大 | なし |
| Windows XP Professional x64 Edition および Windows XP Professional x64 Edition Service Pack 2 | リモート コードの実行 | 重大 | なし |
| Windows Server 2003 Service Pack 1 および Windows Server 2003 Service Pack 2 | リモート コードの実行 | 重大 | なし |
| Windows Server 2003 x64 Edition および Windows Server 2003 x64 Edition Service Pack 2 | リモート コードの実行 | 重大 | なし |
| Itanium ベース システムの場合は Windows Server 2003 SP1、Itanium ベース システムの場合は Windows Server 2003 SP2 | リモート コードの実行 | 重大 | なし |
| Windows Vista および Windows Vista Service Pack 1 | リモート コードの実行 | 重大 | なし |
| Windows Vista x64 Edition および Windows Vista x64 Edition Service Pack 1 | リモート コードの実行 | 重大 | なし |
| 32 ビット システム用 Windows Server 2008* | リモート コードの実行 | 重大 | なし |
| x64 ベースシステム用 Windows Server 2008* | リモート コードの実行 | 重大 | なし |
| Windows Server 2008 for Itanium ベースのシステム | リモート コードの実行 | 重大 | なし |
*影響を受ける Windows Server 2008 サーバー コアのインストール。 Windows Server 2008 のサポートされているエディションの場合、この更新プログラムは、Windows Server 2008 が Server Core インストール オプションを使用してインストールされたかどうかにかかわらず、同じ重大度評価で適用されます。 このインストール オプションの詳細については、「Server Core」を参照してください。 Server Core のインストール オプションは、Windows Server 2008 の特定のエディションには適用されないことに注意してください。「Server Core インストール オプションの比較」を参照してください。
このセキュリティ更新プログラムに関連してよく寄せられる質問 (FAQ)
このセキュリティ情報が 2009 年 4 月 29 日に改訂された理由
このセキュリティ情報は、関連する Microsoft サポート技術情報の記事960803の「このセキュリティ更新プログラムに関する既知の問題」セクションが更新され、この更新プログラムと、Windows チャレンジ/応答 (NTLM) 認証を使用するように構成された Websense ログオン エージェントを実行しているシステムとの間のアプリケーション互換性の問題について説明するために更新されたことを伝えるために改訂されました。
ファイル情報の詳細はどこにありますか?
ファイル情報の詳細については、マイクロソフト サポート技術情報の 記事960803を参照してください。
Windows Server 2008 Service Pack 2 ベータ版、Windows Vista Service Pack 2 ベータ版、Windows 7 ベータ版のリリースは、この脆弱性の影響を受けますか? はい。 これらの脆弱性は、Windows Server 2008 Service Pack 2 Beta、Windows Vista Service Pack 2 Beta、Windows 7 Beta のリリース後に報告されました。 これらのプラットフォームを実行しているお客様は、更新プログラムをダウンロードしてシステムに適用することをお勧めします。
セキュリティ更新プログラムは、Microsoft Update と Windows Update から入手できます。
このセキュリティ更新プログラムは MS09-014 とどのように関連していますか?
このセキュリティ情報に記載されている Windows HTTP サービス資格情報のリフレクト脆弱性 CVE-2009-0550 は、インターネット エクスプローラーおよび Windows インターネット (WinINet) API にも影響します。 Microsoft では、インターネット エクスプローラーのユーザーには、MS09-014、インターネット エクスプローラー用の累積的なセキュリティ更新プログラム (963027) によって提供されるセキュリティ更新プログラムもインストールすることをお勧めします。
このセキュリティ更新プログラムをインストールするときに発生する可能性がある既知の問題は何ですか?
Microsoft サポート技術情報の記事960803 、このセキュリティ更新プログラムのインストール時に発生する可能性がある現在の既知の問題について説明しています。 この記事では、これらの問題に対して推奨される解決策についても説明します。
この更新プログラムは、報告された複数のセキュリティ脆弱性に対処する理由
この更新プログラムには、これらの問題に対処するために必要な変更が関連ファイルに含まれているため、いくつかの脆弱性のサポートが含まれています。 ほぼ同じ複数の更新プログラムをインストールする代わりに、この更新プログラムのみをインストールする必要があります。
この更新プログラムには、機能に対するセキュリティ関連の変更が含まれていますか?
はい。CVE-2009-0089 で説明されている問題を解決するために、Microsoft は SOFTWARE\Microsoft\Windows\CurrentVersion\Internet 設定\WinHttp の下に新しいレジストリ キー UseFQDNFallbackForCnCompare を実装しました。これは、証明書の識別名エントリに対してホストの完全修飾 doメイン 名を検証するときの WinHTTP の動作を制御します。
既定では、このレジストリ キーは存在しません。これにより、WinHTTP は、証明書に含まれる識別名 (DN) が、接続が開始された DN と完全に同一であることを検証します。 このレジストリ キーを True に設定することで、以前の動作を再度有効にすることができます。 この場合、検証の厳格度は低くなり、DNS レベルでの転送によって証明書が名前の変更と一致する場合は受け入れられます。 これは、このセキュリティ更新プログラムをインストールする前の既定の動作で、安全性の低い動作です。
このセキュリティ情報で説明されているソフトウェアの以前のリリースを使用しています。 どうすればよいですか。
このセキュリティ情報に記載されている影響を受けるソフトウェアは、影響を受けるリリースを特定するためにテストされています。 他のリリースはサポート ライフサイクルを過ぎている。 ソフトウェア リリースのサポート ライフサイクルを確認するには、Microsoft サポート ライフサイクルにアクセスしてください。
ソフトウェアの古いリリースをお持ちのお客様は、脆弱性にさらされる可能性を防ぐために、サポートされているリリースに移行することが優先されます。 Windows 製品ライフサイクルの詳細については、「Microsoft サポート ライフサイクル」を参照してください。 これらのソフトウェア バージョンまたはエディションの延長されたセキュリティ更新プログラムのサポート期間の詳細については、Microsoft 製品サポート サービスを参照してください。
以前のリリースでカスタム サポートを必要とするお客様は、カスタム サポート オプションについて、Microsoft アカウント チームの担当者、テクニカル アカウント マネージャー、または適切な Microsoft パートナー担当者にお問い合わせください。 アライアンス、プレミア、または承認された契約を持たないお客様は、お住まいの地域の Microsoft 営業所にお問い合わせください。 連絡先情報については、Microsoft Worldwide Information にアクセスし、国を選択し、[移動] をクリックして電話番号の一覧を表示します。 お電話の際は、地元の Premier サポートセールスマネージャーにお問い合わせください。 詳細については、Windows オペレーティング システム製品サポート ライフサイクルに関する FAQ を参照してください。
脆弱性情報
重大度の評価と脆弱性識別子
次の重大度評価は、脆弱性の潜在的な最大影響を想定しています。 このセキュリティ情報のリリースから 30 日以内に、重大度評価とセキュリティへの影響に関連する脆弱性の悪用可能性に関する情報については、4 月のセキュリティ情報の概要にある Exploitability Index を参照してください。 詳細については、「Microsoft Exploitability Index」を参照してください。
| 影響を受けるソフトウェア | Windows HTTP サービスの整数アンダーフローの脆弱性 - CVE-2009-0086 | Windows HTTP サービスの証明書名の不一致の脆弱性 - CVE-2009-0089 | Windows HTTP サービスの資格情報のリフレクトの脆弱性 - CVE-2009-0550 | 重大度の評価の集計 |
|---|---|---|---|---|
| Microsoft Windows 2000 Service Pack 4 | Critical\ Remote Code Execution | 重要\ スプーフィング | 重要\ リモート コード実行 | 重大 |
| Windows XP Service Pack 2 と Windows XP Service Pack 3 | Critical\ Remote Code Execution | 重要\ スプーフィング | 重要\ リモート コード実行 | 重大 |
| Windows XP Professional x64 Edition および Windows XP Professional x64 Edition Service Pack 2 | Critical\ Remote Code Execution | 重要\ スプーフィング | 重要\ リモート コード実行 | 重大 |
| Windows Server 2003 Service Pack 1 および Windows Server 2003 Service Pack 2 | Critical\ Remote Code Execution | 重要\ スプーフィング | 重要\ リモート コード実行 | 重大 |
| Windows Server 2003 x64 Edition および Windows Server 2003 x64 Edition Service Pack 2 | Critical\ Remote Code Execution | 重要\ スプーフィング | 重要\ リモート コード実行 | 重大 |
| Itanium ベース システムの場合は Windows Server 2003 SP1、Itanium ベース システムの場合は Windows Server 2003 SP2 | Critical\ Remote Code Execution | 重要\ スプーフィング | 重要\ リモート コード実行 | 重大 |
| Windows Vista | Critical\ Remote Code Execution | 重要\ スプーフィング | 重要\ リモート コード実行 | 重大 |
| Windows Vista Service Pack 1 | Critical\ Remote Code Execution | 適用なし | 重要\ リモート コード実行 | 重大 |
| Windows Vista x64 Edition | Critical\ Remote Code Execution | 重要\ スプーフィング | 重要\ リモート コード実行 | 重大 |
| Windows Vista x64 Edition Service Pack 1 | Critical\ Remote Code Execution | 適用なし | 重要\ リモート コード実行 | 重大 |
| 32 ビット システム用 Windows Server 2008* | Critical\ Remote Code Execution | 適用なし | 重要\ リモート コード実行 | 重大 |
| x64 ベースシステム用 Windows Server 2008* | Critical\ Remote Code Execution | 適用なし | 重要\ リモート コード実行 | 重大 |
| Windows Server 2008 for Itanium ベースのシステム | Critical\ Remote Code Execution | 適用なし | 重要\ リモート コード実行 | 重大 |
*影響を受ける Windows Server 2008 サーバー コアのインストール。 Windows Server 2008 のサポートされているエディションの場合、この更新プログラムは、Windows Server 2008 が Server Core インストール オプションを使用してインストールされたかどうかにかかわらず、同じ重大度評価で適用されます。 このインストール オプションの詳細については、「Server Core」を参照してください。 Server Core のインストール オプションは、Windows Server 2008 の特定のエディションには適用されないことに注意してください。「Server Core インストール オプションの比較」を参照してください。
Windows HTTP サービスの整数アンダーフローの脆弱性 - CVE-2009-0086
リモート Web サーバーから返される特定の値を Windows HTTP サービスが処理する方法に、リモートでコードが実行される脆弱性が存在します。 攻撃者がこの脆弱性を悪用した場合、影響を受けるシステムを完全に制御できる可能性があります。 攻撃者はその後、プログラムをインストールする可能性があります。データを表示、変更、または削除する。または、WinHTTP API を呼び出して攻撃者の Web サーバーに接続するサービスまたはアプリケーションと同じユーザー権限を持つ新しいアカウントを作成します。
この脆弱性を一般的な脆弱性と露出の一覧の標準エントリとして表示するには、CVE-2009-0086 を参照してください。
「Windows HTTP サービスの整数アンダーフローの脆弱性」の問題を緩和する要素 - CVE-2009-0086
軽減策とは、既定の状態で存在する設定、一般的な構成、または一般的なベスト プラクティスを指します。これにより、脆弱性の悪用の重大度が低下する可能性があります。 次の軽減要因は、状況に役立つ場合があります。
- Windows HTTP サービスはソフトウェアによって使用されないため、インターネット エクスプローラーのすべてのサポートされているエディションは、この脆弱性の影響を受けません。
「Windows HTTP Services の整数アンダーフローの脆弱性」の回避策 - CVE-2009-0086:
Microsoft は、この脆弱性の回避策を特定していません。
「Windows HTTP サービスの整数アンダーフローの脆弱性」のよく寄せられる質問 - CVE-2009-0086:
この脆弱性の範囲は何ですか?
これは、リモートでコードが実行される脆弱性です。 攻撃者がこの脆弱性を悪用した場合、影響を受けるシステムを完全に制御できる可能性があります。 攻撃者はその後、プログラムをインストールする可能性があります。データを表示、変更、または削除する。または、WinHTTP API を呼び出して攻撃者の Web サーバーに接続するサービスまたはアプリケーションと同じユーザー権限を持つ新しいアカウントを作成します。
この脆弱性は、Windows HTTP サービスを使用し、信頼されていないリモート Web サーバーに接続するように構成されている Windows コンポーネントおよびサード パーティ製アプリケーションに影響を与えます。
この脆弱性の原因は何ですか?
この脆弱性は、リモート Web サーバーによって返されるパラメーターの検証がないために発生します。 これにより、任意のコードが実行される可能性があります。
Windows HTTP サービスとは
Windows HTTP Services (WinHTTP) は、HTTP プロトコルを介して Web サーバーに要求を送信する HTTP クライアント アプリケーション プログラミング インターフェイス (API) を開発者に提供します。 WinHTTP は、Microsoft Windows コンポーネントとサード パーティ製ソフトウェアの両方で使用できます。 WinHTTP は、特にユニバーサル プラグ アンド プレイ (UPNP) サービスによって使用されます。
ユニバーサル プラグ アンド プレイとは
ユニバーサル プラグ アンド プレイ (UPnP) は、ネットワーク上のデバイスが他のデバイスを検出し、それらの操作方法を決定できるようにする機能です。 UPnP は、ほとんどの Windows ユーザーが既に使い慣れているプラグ アンド プレイ (PnP) 機能と比較して、最も簡単に理解できます。 PnP を使用すると、オペレーティング システムをシステムにインストールするときに、新しいハードウェアを検出できます。 たとえば、新しいマウスをコンピューターにインストールすると、PnP を使用すると、Windows でマウスを検出し、必要なドライバーを読み込んで、使用を開始できます。 UPnP は、ローカル システム自体ではなく、ネットワーク上のデバイスにこの概念を拡張します。 UPnP を使用すると、コンピューターはネットワーク上の他のデバイスについて学習し、その使用方法を決定できます。 たとえば、コンピューターは UPnP を使用して、使用できるプリンターがネットワーク上にあるかどうかを検出し、その使用方法を学習できます。
Simple Service Discovery Protocol (SSDP) とは
デバイス検出は、UPnP 対応コンピューターが使用できるデバイスの可用性を認識し、サービスを要求する方法を学習するプロセスです。 UPnP 対応コンピューターが起動すると、ネットワーク上に使用できるデバイスが既に存在する可能性があります。 これが該当するかどうかを判断するために、コンピューターはブロードキャスト要求 (M-Standard Edition ARCH ディレクティブと呼ばれます) を送信し、サブネット内の UPnP 対応デバイスが直接応答し、その使用に関する情報を提供するように求めます。
同様に、UPnP をサポートするデバイス (たとえば、UPnP 対応プリンター) が起動すると、ネットワーク上に UPnP 対応コンピューターが既に存在し、それを使用する可能性があります。 デバイスは、(NOTIFY ディレクティブと呼ばれる) メッセージをサブネット内のすべてのコンピューターにブロードキャストし、ネットワーク上でのプレゼンスを通知し、そのサービスを利用するためにコンピューターを招待します。
攻撃者はこの脆弱性を使用して何を行う可能性がありますか?
攻撃者がこの脆弱性を悪用した場合、WinHTTP API を呼び出して攻撃者の Web サーバーに接続するサービスまたはアプリケーションと同じユーザー権限を取得する可能性があります。 システムのユーザー権限が少ないほど構成されているアカウントで実行されているアプリケーションは、管理ユーザー権限を持つアカウントで実行されているアプリケーションよりも影響を受けにくい可能性があります。
攻撃者がこの脆弱性を悪用する方法
攻撃者は、Windows HTTP サービスを使用して悪意のある Web サーバーに接続するようにプログラムを強制または誘導する必要があります。 ユニバーサル プラグ アンド プレイ (UPnP) サービスでは WinHTTP ライブラリが使用されることに注意してください。 このサービスを有効にすると、ローカル サブネット上の悪意のあるユーザーが SSDP 要求に応答し、この脆弱性を悪用する可能性のある悪意のあるホストに WinHTTP を使用して接続するように UPnP サービスを誘導する可能性があります。 UPNP サービスは LocalService アカウントで実行されます。これは、システムに対する特権が制限されたアカウントです。
どのシステムが主に脆弱性のリスクにさらされていますか?
ワークステーションとターミナル サーバーは主に危険にさらされます。 管理者がユーザーにサーバーへのログオンとプログラムの実行を許可すると、サーバーのリスクが高くなります。 ただし、ベスト プラクティスではこれを許可しないことを強くお勧めします。
更新プログラムは何を行いますか?
この更新プログラムは、Windows HTTP Services がエラーを処理する方法を変更することで、悪用可能な状態になる脆弱性を排除します。
このセキュリティ情報が発行されたとき、この脆弱性は一般に公開されていましたか?
いいえ。 Microsoft は、責任ある開示を通じてこの脆弱性に関する情報を受け取りました。
このセキュリティ情報が発行されたとき、Microsoft はこの脆弱性が悪用されたという報告を受け取りましたか?
いいえ。 Microsoft は、この脆弱性が顧客を攻撃するために一般に使用されたことを示す情報を受け取らず、このセキュリティ情報が最初に発行されたときに公開された概念実証コードの例を見ていませんでした。
Windows HTTP サービスの証明書名の不一致の脆弱性 - CVE-2009-0089
デジタル証明書の識別名が不完全に検証された結果、Windows HTTP Services にスプーフィングの脆弱性が存在します。 DNS スプーフィングなど、特定の他の攻撃と組み合わせると、攻撃者が Windows HTTP サービスを使用するすべてのアプリケーションの Web サイトのデジタル証明書のスプーフィングに成功する可能性があります。
この脆弱性を一般的な脆弱性と露出の一覧の標準エントリとして表示するには、CVE-2009-0089 を参照してください。
「Windows HTTP サービスの証明書名の不一致の脆弱性」の問題を緩和する要素 - CVE-2009-0089:
軽減策とは、既定の状態で存在する設定、一般的な構成、または一般的なベスト プラクティスを指します。これにより、脆弱性の悪用の重大度が低下する可能性があります。 次の軽減要因は、状況に役立つ場合があります。
- Windows HTTP サービスはソフトウェアによって使用されないため、インターネット エクスプローラーのすべてのサポートされているエディションは、この脆弱性の影響を受けません。
「Windows HTTP サービスの証明書名の不一致の脆弱性」の回避策 - CVE-2009-0089:
Microsoft は、この脆弱性の回避策を特定していません。
「Windows HTTP サービスの証明書名の不一致の脆弱性」のよく寄せられる質問 - CVE-2009-0089:
この脆弱性の範囲は何ですか?
これは、Windows HTTP サービスに存在するスプーフィングの脆弱性です。 DNS スプーフィングなど、特定の他の攻撃と組み合わせると、攻撃者が Windows HTTP サービスを使用するすべてのアプリケーションの Web サイトのデジタル証明書のスプーフィングに成功する可能性があります。
この脆弱性の原因は何ですか?
アプリケーションが Windows HTTP サービスを呼び出してリモート Web サーバーへの接続を設定すると、WinHTTP は、ホストが接続しようとした元の Web サイトの証明書に対して、URL の完全修飾 doメイン 名のみを検証します。 DNS スプーフィングの特定の組み合わせは、その特定のホストの有効な証明書を持つ別の Web サーバーに接続を転送する可能性がありますが、WinHTTP が接続を開始した Web ページには転送されません。 DNS スプーフィングとこの脆弱性の組み合わせにより、WinHTTP がリモート Web サーバーの証明書を許容できると誤って判断する可能性があります。 WinHTTP はユーザーの操作のためにアプリケーションに依存していますので、アプリケーションによってこの不一致がユーザーに警告されない場合があります。
Windows HTTP サービスとは
Windows HTTP Services (WinHTTP) は、HTTP プロトコルを介して他の HTTP サーバーに要求を送信する HTTP クライアント アプリケーション プログラミング インターフェイス (API) を開発者に提供します。
デジタル証明書とは
デジタル証明書は、ID の認証に使用される一般的な資格情報です。 信頼された組織は、証明書を個人またはエンティティ (その証明書のサブジェクト) に割り当てます。 証明書を発行する信頼された組織は証明機関 (CA) であり、証明書の発行者と呼ばれます。 信頼できる CA は、証明書のサブジェクトの ID を確認した後にのみ証明書を発行します。
DNS スプーフィングとは
Doメイン Name System (DNS) は、TCP/IP を構成する業界標準のプロトコル スイートの 1 つです。 DNS は、DNS サーバーと DNS クライアント (またはリゾルバー) の 2 つのソフトウェア コンポーネントを使用して実装されます。 どちらのコンポーネントもバックグラウンド サービス アプリケーションとして実行されます。 ネットワーク リソースは数値の IP アドレスで識別されますが、ネットワーク ユーザーが覚えにくい IP アドレスです。 DNS データベースには、ネットワーク リソースのわかりやすい英数字名を、それらのリソースが通信に使用する IP アドレスにマップするレコードが含まれています。 このように、DNS はニーモニック デバイスとして機能し、ネットワーク リソースをネットワーク ユーザーにとって覚えやすくします。 詳細と、DNS が他の Windows テクノロジとどのように適合するかを示す論理図を表示するには、TechNet の記事「 DNS とは」を参照してください。
DNS スプーフィングは、DNS システム内のある時点で、それらの応答に通常は責任を負わないサード パーティによって不適切な DNS 応答が導入される、広範なカテゴリの攻撃です。 このような攻撃により、doメイン またはホスト名が、その名前の所有者によって解決されることを意図していない IP アドレスに解決される可能性があります。 そのため、悪意のある可能性のあるサード パーティのサーバーに接続するためにホストが要求される可能性があります。
攻撃者はこの脆弱性を使用して何を行う可能性がありますか?
攻撃者は、セキュリティで保護された Web サイトを偽装し、Windows HTTP サービスを使用してアプリケーションに悪意のあるコンテンツを提供する可能性があります。これは、セキュリティで保護された Web サイトから発生したかのように信頼されます。
攻撃者がこの脆弱性を悪用する方法
攻撃者は、この脆弱性を DNS スプーフィングまたは同様の攻撃と組み合わせて、制御下にあるサーバーに送信接続を誘導する必要があります。 その後、ユーザーが最初に接続しようとした宛先ホスト Web サイトに対して有効であると Windows HTTP サービスによって誤って検証される、接続先の Web サイトに対して有効な証明書を提供します。
どのシステムが主に脆弱性のリスクにさらされていますか?
ワークステーションとターミナル サーバーは主に危険にさらされます。 管理者がユーザーにサーバーへのログオンとプログラムの実行を許可すると、サーバーのリスクが高くなります。 ただし、ベスト プラクティスではこれを許可しないことを強くお勧めします。
更新プログラムは何を行いますか?
この更新プログラムは、セキュリティで保護された Web サイトに属する証明書を Windows HTTP サービスが検証する方法を変更することで、この脆弱性を排除します。
このセキュリティ情報が発行されたとき、この脆弱性は一般に公開されていましたか?
いいえ。 Microsoft は、責任ある開示を通じてこの脆弱性に関する情報を受け取りました。
このセキュリティ情報が発行されたとき、Microsoft はこの脆弱性が悪用されたという報告を受け取りましたか?
いいえ。 Microsoft は、この脆弱性が顧客を攻撃するために一般に使用されたことを示す情報を受け取らず、このセキュリティ情報が最初に発行されたときに公開された概念実証コードの例を見ていませんでした。
Windows HTTP サービスの資格情報のリフレクトの脆弱性 - CVE-2009-0550
ユーザーが攻撃者の Web サーバーに接続したときに Windows HTTP サービスが NTLM 資格情報を処理する方法に、リモートでコードが実行される脆弱性が存在します。 この脆弱性により、攻撃者はユーザーの資格情報を攻撃者に再生し、ログオンしているユーザーのコンテキストでコードを実行できます。 ユーザーが管理者権限でログオンしている場合、攻撃者がこの脆弱性を悪用した場合、影響を受けるシステムを完全に制御できる可能性があります。 このような攻撃者はプログラムをインストールしたり、データの閲覧、変更、削除を行ったり、完全なユーザー権限を持つ新しいアカウントを作成したりできるようになります。 システム上でアカウントのユーザー権限が少なく構成されているユーザーは、管理ユーザー権限で作業するユーザーに比べて、受ける影響は少ない可能性があります。
この脆弱性を一般的な脆弱性と露出の一覧の標準エントリとして表示するには、CVE-2009-0550 を参照してください。
「Windows HTTP サービスの資格情報のリフレクトの脆弱性」の問題を緩和する要素 - CVE-2009-0550:
軽減策とは、既定の状態で存在する設定、一般的な構成、または一般的なベスト プラクティスを指します。これにより、脆弱性の悪用の重大度が低下する可能性があります。 次の軽減要因は、状況に役立つ場合があります。
- Web ベースの攻撃シナリオでは、攻撃者がこの脆弱性の悪用に使用される Web ページを含む Web サイトをホストする可能性があります。 さらに、ユーザーが提供するコンテンツまたは広告を受け入れる、またはホストする侵害された Web サイトや Web サイトには、この脆弱性を悪用する可能性のある特別に細工されたコンテンツが含まれる可能性があります。 ただし、いずれの場合も、攻撃者はユーザーにこれらの Web サイトへのアクセスを強制する方法はありません。 代わりに、攻撃者は、通常、ユーザーを攻撃者の Web サイトに誘導する電子メール メッセージまたはインスタント メッセンジャー メッセージ内のリンクをクリックするようにユーザーに誘導する必要があります。
- 攻撃者がこの脆弱性を悪用した場合、ローカル ユーザーと同じユーザー権限を取得する可能性があります。 システム上でアカウントのユーザー権限が少なく構成されているユーザーは、管理ユーザー権限で作業するユーザーに比べて、受ける影響は少ない可能性があります。
- Windows Vista および Windows Server 2008 のサポートされているすべてのエディションには、既定で Windows ファイアウォールのプロファイルがパブリックに設定されているため、パブリック プロファイルでは S MB (メガバイト) トラフィックがブロックされるため、これらのプラットフォームでのこの脆弱性への露出が軽減されます。 クライアントは、攻撃が成功し、資格情報が反映されるために NTLM 認証を受け入れるサービスを実行する必要があるため、最も一般的な攻撃ベクトルは S MB (メガバイト) です。
「Windows HTTP サービス資格情報のリフレクトion の脆弱性」の回避策 - CVE-2009-0550
Microsoft は、この脆弱性の回避策を特定していません。
「Windows HTTP サービスの資格情報のリフレクトの脆弱性」のよく寄せられる質問 - CVE-2009-0550
この脆弱性の範囲は何ですか?
これは、リモートでコードが実行される脆弱性です。 攻撃者がこの脆弱性を悪用した場合、影響を受けるシステムを完全に制御できる可能性があります。 このような攻撃者はプログラムをインストールしたり、データの閲覧、変更、削除を行ったり、完全なユーザー権限を持つ新しいアカウントを作成したりできるようになります。
さらに、この問題は、インターネット エクスプローラーと Windows インターネット API にも影響します。 Microsoft では、インターネット エクスプローラーのユーザーに、MS09-014、インターネット エクスプローラー用の累積的なセキュリティ更新プログラム (963027) によって提供されるセキュリティ更新プログラムをインストールすることをお勧めします。
この脆弱性の原因は何ですか?
Windows HTTP サービスは、ユーザーの資格情報が反映されず、ユーザーに対して使用されないように、NTLM 資格情報リフレクション保護に正しくオプトインしません。
Microsoft Windows HTTP Services とは
Microsoft Windows HTTP Services (WinHTTP) は、HTTP プロトコルを介して他の HTTP サーバーに要求を送信する HTTP クライアント アプリケーション プログラミング インターフェイス (API) を開発者に提供します。
攻撃者はこの脆弱性を使用して何を行う可能性がありますか?
攻撃者はログオンユーザーの権限を取得し、ログオンユーザーが行う権限を持つあらゆることを行う可能性があります。 ユーザーが管理者権限でログオンしている場合、攻撃者がこの脆弱性を悪用した場合、影響を受けるシステムを完全に制御できる可能性があります。 このような攻撃者はプログラムをインストールしたり、データの閲覧、変更、削除を行ったり、完全なユーザー権限を持つ新しいアカウントを作成したりできるようになります。 システム上でアカウントのユーザー権限が少なく構成されているユーザーは、管理ユーザー権限で作業するユーザーに比べて、受ける影響は少ない可能性があります。
攻撃者がこの脆弱性を悪用する方法
この脆弱性を利用するには、影響を受けるバージョンの Windows HTTP Services を持つユーザーが悪意のあるサーバーにアクセスする必要があります。 攻撃者は、ユーザーの NTLM ログオン資格情報をキャプチャする特別に細工された Web サーバーをホストする必要があります。 その後、攻撃者は、NTLM 認証を受け入れるユーザーのクライアント上のサービスに対してこれらの資格情報を再生します。 攻撃者は、特別に細工されたサーバーをユーザーに強制的に訪問させる方法はありません。 代わりに、攻撃者は Web サイトにアクセスするように誘導する必要があります。通常は、攻撃者のサイトに移動する電子メール メッセージまたはインスタント メッセンジャー メッセージ内のリンクをクリックしてもらう必要があります。
どのシステムが主に脆弱性のリスクにさらされていますか?
ワークステーションとターミナル サーバーは主に危険にさらされます。 管理者がユーザーにサーバーへのログオンとプログラムの実行を許可すると、サーバーのリスクが高くなります。 ただし、ベスト プラクティスではこれを許可しないことを強くお勧めします。
更新プログラムは何を行いますか?
このセキュリティ更新プログラムは、Windows HTTP サービスが Windows から利用可能な資格情報保護メカニズムに適切にオプトインすることで、この脆弱性を修復します。
なぜこの脆弱性と WinINet 資格情報リフレクトion の脆弱性に MS09-014 の同じ CVE 番号 (CVE-2009-0550) が割り当てられているのですか? インターネット エクスプローラー用の累積的なセキュリティ更新プログラム (963027)?
CVE-2009-0550 は、インターネット エクスプローラーで使用される WinINet と、Windows オペレーティング システムのコンポーネントである Windows HTTP サービスの両方に影響します。 Microsoft では、インターネット エクスプローラーのユーザーには、MS09-014、インターネット エクスプローラー用の累積的なセキュリティ更新プログラム (963027) によって提供されるセキュリティ更新プログラムもインストールすることをお勧めします。
このセキュリティ情報が発行されたとき、この脆弱性は一般に公開されていましたか?
はい。 この脆弱性は一般に公開されています。 共通脆弱性と露出番号 CVE-2009-0550 が割り当てられます。
このセキュリティ情報が発行されたとき、Microsoft はこの脆弱性が悪用されたという報告を受け取りましたか?
いいえ。 Microsoft は、この脆弱性が顧客を攻撃するために一般に使用されたことを示す情報を受け取らず、このセキュリティ情報が最初に発行されたときに公開された概念実証コードの例を見ていませんでした。
情報の更新
検出と展開のツールとガイダンス
組織内のサーバー、デスクトップ、モバイル システムに展開するために必要なソフトウェアとセキュリティの更新プログラムを管理します。 詳細については、TechNet Update Management Center を参照してください。 Microsoft TechNet セキュリティWeb サイトは、Microsoft 製品のセキュリティに関する追加情報を提供します。
セキュリティ更新プログラムは、Microsoft Update、Windows Update、Office Update から入手できます。 セキュリティ更新プログラムは、Microsoft ダウンロード センターからも入手できます。 "セキュリティ更新プログラム" のキーワード (keyword)検索を実行すると、最も簡単に見つけることができます。
最後に、セキュリティ更新プログラムは Microsoft Update カタログからダウンロードできます。 Microsoft Update カタログには、セキュリティ更新プログラム、ドライバー、サービス パックなど、Windows Update と Microsoft Update を通じて利用できるコンテンツの検索可能なカタログが用意されています。 セキュリティ情報番号 ("MS07-036" など) を使用して検索すると、該当するすべての更新プログラムをバスケットに追加し (更新プログラムの異なる言語を含む)、選択したフォルダーにダウンロードできます。 Microsoft Update カタログの詳細については、Microsoft Update カタログに関する FAQ を参照してください。
検出と展開のガイダンス
Microsoft は、今月のセキュリティ更新プログラムの検出と展開に関するガイダンスを提供しています。 このガイダンスは、WINDOWS Update、Microsoft Update、Office Update、Microsoft Baseline Security Analyzer (MB (メガバイト)SA)、Office 検出ツール、Microsoft Systems Management Server (SMS)、拡張セキュリティ更新プログラム インベントリ ツールなど、さまざまなツールを使用してセキュリティ更新プログラムを展開する方法を IT プロフェッショナルが理解するのにも役立ちます。 詳細については、マイクロソフト サポート技術情報の記事910723を参照してください。
Microsoft Baseline Security Analyzer
Microsoft Baseline Security Analyzer (MB (メガバイト)SA) を使用すると、管理者はローカル システムとリモート システムをスキャンして、不足しているセキュリティ更新プログラムや一般的なセキュリティ構成の誤りを確認できます。 MB (メガバイト)SA の詳細については、Microsoft Baseline Security Analyzer を参照してください。
次の表に、このセキュリティ更新プログラムの MB (メガバイト)SA 検出の概要を示します。
| ソフトウェア | MB (メガバイト)SA 2.1 |
|---|---|
| Microsoft Windows 2000 Service Pack 4 | はい |
| Windows XP Service Pack 2 と Windows XP Service Pack 3 | はい |
| Windows XP Professional x64 Edition および Windows XP Professional x64 Edition Service Pack 2 | はい |
| Windows Server 2003 Service Pack 1 および Windows Server 2003 Service Pack 2 | はい |
| Windows Server 2003 x64 Edition および Windows Server 2003 x64 Edition Service Pack 2 | はい |
| Itanium ベース システムの場合は Windows Server 2003 SP1、Itanium ベース システムの場合は Windows Server 2003 SP2 | はい |
| Windows Vista および Windows Vista Service Pack 1 | はい |
| Windows Vista x64 Edition および Windows Vista x64 Edition Service Pack 1 | はい |
| 32 ビット システム用 Windows Server 2008 | はい |
| x64 ベースシステム用 Windows Server 2008 | はい |
| Windows Server 2008 for Itanium ベースのシステム | はい |
MB (メガバイト)SA 2.1 の詳細については、「MB (メガバイト)SA 2.1 に関するよく寄せられる質問」を参照してください。
Windows Server Update Services
Windows Server Update Services (WSUS) を使用すると、管理者は Windows 2000 オペレーティング システム以降、Office XP 以降、Exchange Server 2003、および SQL Server 2000 の最新の重要な更新プログラムとセキュリティ更新プログラムを展開できます。 Windows Server Update Services を使用してこのセキュリティ更新プログラムを展開する方法の詳細については、Windows Server Update ServicesWeb サイトを参照してください。
Systems Management Server
次の表に、このセキュリティ更新プログラムの SMS 検出と展開の概要を示します。
| ソフトウェア | SMS 2.0 | SMS 2003 と SUSFP | ITMU を使用した SMS 2003 | Configuration Manager 2007 |
|---|---|---|---|---|
| Microsoft Windows 2000 Service Pack 4 | はい | イエス | イエス | はい |
| Windows XP Service Pack 2 と Windows XP Service Pack 3 | はい | イエス | イエス | はい |
| Windows XP Professional x64 Edition および Windows XP Professional x64 Edition Service Pack 2 | いいえ | 番号 | イエス | はい |
| Windows Server 2003 Service Pack 1 および Windows Server 2003 Service Pack 2 | はい | イエス | イエス | はい |
| Windows Server 2003 x64 Edition および Windows Server 2003 x64 Edition Service Pack 2 | いいえ | 番号 | イエス | はい |
| Itanium ベース システムの場合は Windows Server 2003 SP1、Itanium ベース システムの場合は Windows Server 2003 SP2 | いいえ | 番号 | イエス | はい |
| Windows Vista および Windows Vista Service Pack 1 | いいえ | いいえ | 以下の Windows Vista および Windows Server 2008 の注を参照してください | はい |
| Windows Vista x64 Edition および Windows Vista x64 Edition Service Pack 1 | いいえ | いいえ | 以下の Windows Vista および Windows Server 2008 の注を参照してください | はい |
| 32 ビット システム用 Windows Server 2008 | いいえ | いいえ | 以下の Windows Vista および Windows Server 2008 の注を参照してください | はい |
| x64 ベースシステム用 Windows Server 2008 | いいえ | いいえ | 以下の Windows Vista および Windows Server 2008 の注を参照してください | はい |
| Windows Server 2008 for Itanium ベースのシステム | いいえ | いいえ | 以下の Windows Vista および Windows Server 2008 の注を参照してください | はい |
SMS 2.0 および SMS 2003 では、セキュリティ更新プログラム インベントリ ツール (SUIT) を含む SMS SUS Feature Pack (SUSFP) を SMS で使用してセキュリティ更新プログラムを検出できます。 「Systems Management Server 2.0 のダウンロード」も参照してください。
SMS 2003 の場合、SMS 2003 Inventory Tool for Microsoft 更新 (ITMU) を SMS で使用して、Microsoft Update によって提供され、Windows Server Update Services でサポートされているセキュリティ更新プログラムを検出できます。 SMS 2003 ITMU の詳細については、「SMS 2003 Inventory Tool for Microsoft 更新」を参照してください。 SMS 2003 では、Microsoft Office インベントリ ツールを使用して、Microsoft Office アプリlications に必要な更新プログラムを検出することもできます。 Office インベントリ ツールとその他のスキャン ツールの詳細については、「SMS 2003 ソフトウェア更新プログラムのスキャン ツール」を参照してください。 「Systems Management Server 2003 のダウンロード」も 参照してください。
System Center Configuration Manager 2007 では、更新プログラムの検出に WSUS 3.0 が使用されます。 Configuration Manager 2007 Software Update Management の詳細については、System Center Configuration Manager 2007 を参照してください。
Windows Vista および Windows Server 2008 Microsoft Systems Management Server 2003 Service Pack 3 の注には、Windows Vista と Windows Server 2008 の管理容易性のサポートが含まれています。
SMS の詳細については、SMSWeb サイトを参照してください。
詳細については、「 Microsoft サポート技術情報の記事 910723: 毎月の検出と展開のガイダンスに関する記事の概要一覧」を参照してください。
互換性エバリュエーターとアプリケーション互換性ツールキットの更新
更新多くの場合、アプリケーションの実行に必要なのと同じファイルとレジストリ設定に書き込みます。 これにより、非互換性がトリガーされ、セキュリティ更新プログラムの展開にかかる時間が長くなる可能性があります。 Application Compatibility Toolkit 5.0 に含まれている Update Compatibility Evaluator コンポーネントを使用すると、インストールされているアプリケーションに対する Windows 更新プログラムのテストと検証を効率化できます。
アプリケーション互換性ツールキット (ACT) には、Microsoft Windows Vista、Windows Update、Microsoft セキュリティ更新プログラム、または新しいバージョンの Windows インターネット エクスプローラーを環境内に展開する前に、アプリケーションの互換性の問題を評価して軽減するために必要なツールとドキュメントが含まれています。
セキュリティ更新プログラムの展開
影響を受けるソフトウェア
影響を受けるソフトウェアの特定のセキュリティ更新プログラムの詳細については、適切なリンクをクリックしてください。
Windows 2000 (すべてのエディション)
参照テーブル
次の表に、このソフトウェアのセキュリティ更新プログラムの情報を示します。 その他の情報については、 このセクションのサブセクション「デプロイ情報」を参照してください。
デプロイ情報
更新プログラムのインストール
このセキュリティ更新プログラムをインストールすると、インストーラーは、システムで更新されるファイルの 1 つ以上が以前に Microsoft 修正プログラムによって更新されたかどうかをチェックします。
これらのファイルのいずれかを更新する修正プログラムを以前にインストールした場合、インストーラーは RTMQFE、SP1QFE、または SP2QFE ファイルをシステムにコピーします。 それ以外の場合、インストーラーは RTMGDR、SP1GDR、または SP2GDR ファイルをシステムにコピーします。 セキュリティ更新プログラムには、これらのファイルのすべてのバリエーションが含まれていない場合があります。 この動作の詳細については、マイクロソフト サポート技術情報の記事824994を参照してください。
インストーラーの詳細については、Microsoft TechNet Web サイトを参照してください。
修正プログラムなど、このセキュリティ情報に表示される用語の詳細については、マイクロソフト サポート技術情報の記事824684を参照してください。
このセキュリティ更新プログラムは、次のセットアップ スイッチをサポートしています。
| Switch | 説明 |
|---|---|
| /help | コマンド ライン オプションを表示します。 |
| セットアップ モード | |
| /passive | 無人セットアップ モード。 ユーザーの操作は必要ありませんが、インストールの状態が表示されます。 セットアップの終了時に再起動が必要な場合は、コンピューターが 30 秒以内に再起動することを示すタイマー警告が表示されるダイアログ ボックスがユーザーに表示されます。 |
| /quiet | 非表示モードです。 これは無人モードと同じですが、状態またはエラー メッセージは表示されません。 |
| 再起動オプション | |
| /norestart | インストールが完了しても再起動しません。 |
| /forcerestart | インストール後にコンピューターを再起動し、最初に開いているファイルを保存せずに、シャットダウン時に他のアプリケーションを強制的に閉じます。 |
| /warnrestart[:x] | コンピューターが x 秒で再起動することをユーザーに警告するタイマーを含むダイアログ ボックスを表示します。 (既定の設定は 30 秒です)。/quiet スイッチまたは /passive スイッチでの使用を目的としています。 |
| /promptrestart | 再起動を許可するようにローカル ユーザーに求めるダイアログ ボックスを表示します。 |
| 特別なオプション | |
| /overwriteoem | プロンプトを表示せずに OEM ファイルを上書きします。 |
| /nobackup | アンインストールに必要なファイルはバックアップしません。 |
| /forceappsclose | コンピューターのシャットダウン時に他のプログラムを強制的に閉じます。 |
| /log:path | インストール ログ ファイルのリダイレクトを許可します。 |
| /extract[:p ath] | セットアップ プログラムを起動せずにファイルを抽出します。 |
| /Er | 拡張エラー報告を有効にします。 |
| /verbose | 詳細ログを有効にします。 インストール中に、%Windir%\CabBuild.log を作成します。 このログには、コピーされたファイルの詳細が表示されます。 このスイッチを使用すると、インストールが遅くなる可能性があります。 |
注: これらのスイッチを 1 つのコマンドに結合できます。 下位互換性のために、セキュリティ更新プログラムでは、以前のバージョンのセットアップ プログラムで使用されるセットアップ スイッチもサポートされています。 サポートされているインストール スイッチの詳細については、マイクロソフト サポート技術情報の記事262841を参照してください。
更新プログラムの削除
このセキュリティ更新プログラムは、次のセットアップ スイッチをサポートしています。
| Switch | 説明 |
|---|---|
| /help | コマンド ライン オプションを表示します。 |
| セットアップ モード | |
| /passive | 無人セットアップ モード。 ユーザーの操作は必要ありませんが、インストールの状態が表示されます。 セットアップの終了時に再起動が必要な場合は、コンピューターが 30 秒以内に再起動することを示すタイマー警告が表示されるダイアログ ボックスがユーザーに表示されます。 |
| /quiet | 非表示モードです。 これは無人モードと同じですが、状態またはエラー メッセージは表示されません。 |
| 再起動オプション | |
| /norestart | インストールが完了しても再起動しません。 |
| /forcerestart | インストール後にコンピューターを再起動し、最初に開いているファイルを保存せずに、シャットダウン時に他のアプリケーションを強制的に閉じます。 |
| /warnrestart[:x] | コンピューターが x 秒で再起動することをユーザーに警告するタイマーを含むダイアログ ボックスを表示します。 (既定の設定は 30 秒です)。/quiet スイッチまたは /passive スイッチでの使用を目的としています。 |
| /promptrestart | 再起動を許可するようにローカル ユーザーに求めるダイアログ ボックスを表示します。 |
| 特別なオプション | |
| /forceappsclose | コンピューターのシャットダウン時に他のプログラムを強制的に閉じます。 |
| /log:path | インストール ログ ファイルのリダイレクトを許可します。 |
更新プログラムが適用されたことを確認する
Microsoft Baseline Security Analyzer
影響を受けるシステムにセキュリティ更新プログラムが適用されたことを確認するために、Microsoft Baseline Security Analyzer (MB (メガバイト)SA) ツールを使用できる場合があります。 詳細については、 このセキュリティ情報の「検出と展開のツールとガイダンス」セクションを参照してください。ファイル バージョンの検証
Microsoft Windows には複数のエディションがあるため、システムで次の手順が異なる場合があります。 該当する場合は、製品のドキュメントを参照して、これらの手順を完了してください。- [スタート] をクリックし、[検索] をクリックします。
- [検索結果] ウィンドウで、[検索コンパニオン] の [すべてのファイルとフォルダー] をクリックします。
- [ファイル名のすべてまたは一部] ボックスに、適切なファイル情報テーブルのファイル名を入力し、[検索] をクリックします。
- ファイルの一覧で、適切なファイル情報テーブルのファイル名を右クリックし、[プロパティ] をクリックします。 注 : オペレーティング システムのエディション、またはシステムにインストールされているプログラムによっては、ファイル情報テーブルに一覧表示されているファイルの一部がインストールされない場合があります。
- [バージョン] タブで、システムにインストールされているファイルのバージョンを、適切なファイル情報テーブルに記載されているバージョンと比較して確認します。 注: ファイル バージョン以外の属性は、インストール中に変更される可能性があります。 他のファイル属性とファイル情報テーブル内の情報の比較は、更新プログラムが適用されたことを確認するサポートされている方法ではありません。 また、場合によっては、インストール時にファイルの名前が変更されることがあります。 ファイルまたはバージョンの情報が存在しない場合は、他のいずれかの方法を使用して更新プログラムのインストールを確認します。
レジストリ キーの検証
このセクションの参照表に記載されているレジストリ キーを確認することで、このセキュリティ更新プログラムがインストールしたファイルを確認することもできます。これらのレジストリ キーには、インストールされているファイルの完全な一覧が含まれていない場合があります。 また、管理者または OEM がこのセキュリティ更新プログラムを Windows インストール ソース ファイルに統合またはスリップストリームすると、これらのレジストリ キーが正しく作成されない場合があります。
Windows XP (すべてのエディション)
参照テーブル
次の表に、このソフトウェアのセキュリティ更新プログラムの情報を示します。 その他の情報については、 このセクションのサブセクション「デプロイ情報」を参照してください。
注: サポートされているバージョンの Windows XP Professional x64 Edition の場合、このセキュリティ更新プログラムは、Windows Server 2003 x64 Edition セキュリティ更新プログラムのサポートされているバージョンと同じです。
デプロイ情報
更新プログラムのインストール
このセキュリティ更新プログラムをインストールすると、インストーラーは、システムで更新されるファイルの 1 つ以上が以前に Microsoft 修正プログラムによって更新されたかどうかをチェックします。
これらのファイルのいずれかを更新する修正プログラムを以前にインストールした場合、インストーラーは RTMQFE、SP1QFE、または SP2QFE ファイルをシステムにコピーします。 それ以外の場合、インストーラーは RTMGDR、SP1GDR、または SP2GDR ファイルをシステムにコピーします。 セキュリティ更新プログラムには、これらのファイルのすべてのバリエーションが含まれていない場合があります。 この動作の詳細については、マイクロソフト サポート技術情報の記事824994を参照してください。
インストーラーの詳細については、Microsoft TechNetWeb サイトを参照してください。
修正プログラムなど、このセキュリティ情報に表示される用語の詳細については、マイクロソフト サポート技術情報の記事824684を参照してください。
このセキュリティ更新プログラムは、次のセットアップ スイッチをサポートしています。
| Switch | 説明 |
|---|---|
| /help | コマンド ライン オプションを表示します。 |
| セットアップ モード | |
| /passive | 無人セットアップ モード。 ユーザーの操作は必要ありませんが、インストールの状態が表示されます。 セットアップの終了時に再起動が必要な場合は、コンピューターが 30 秒以内に再起動することを示すタイマー警告が表示されるダイアログ ボックスがユーザーに表示されます。 |
| /quiet | 非表示モードです。 これは無人モードと同じですが、状態またはエラー メッセージは表示されません。 |
| 再起動オプション | |
| /norestart | インストールが完了しても再起動しません。 |
| /forcerestart | インストール後にコンピューターを再起動し、最初に開いているファイルを保存せずに、シャットダウン時に他のアプリケーションを強制的に閉じます。 |
| /warnrestart[:x] | コンピューターが x 秒で再起動することをユーザーに警告するタイマーを含むダイアログ ボックスを表示します。 (既定の設定は 30 秒です)。/quiet スイッチまたは /passive スイッチでの使用を目的としています。 |
| /promptrestart | 再起動を許可するようにローカル ユーザーに求めるダイアログ ボックスを表示します。 |
| 特別なオプション | |
| /overwriteoem | プロンプトを表示せずに OEM ファイルを上書きします。 |
| /nobackup | アンインストールに必要なファイルはバックアップしません。 |
| /forceappsclose | コンピューターのシャットダウン時に他のプログラムを強制的に閉じます。 |
| /log:path | インストール ログ ファイルのリダイレクトを許可します。 |
| /integrate:path | Windows ソース ファイルに更新プログラムを統合します。 これらのファイルは、スイッチで指定されているパスにあります。 |
| /extract[:p ath] | セットアップ プログラムを起動せずにファイルを抽出します。 |
| /Er | 拡張エラー報告を有効にします。 |
| /verbose | 詳細ログを有効にします。 インストール中に、%Windir%\CabBuild.log を作成します。 このログには、コピーされたファイルの詳細が表示されます。 このスイッチを使用すると、インストールが遅くなる可能性があります。 |
注: これらのスイッチを 1 つのコマンドに結合できます。 下位互換性のために、セキュリティ更新プログラムでは、以前のバージョンのセットアップ プログラムで使用されるセットアップ スイッチもサポートされています。 サポートされているインストール スイッチの詳細については、マイクロソフト サポート技術情報の記事262841を参照してください。
更新プログラムの削除
このセキュリティ更新プログラムは、次のセットアップ スイッチをサポートしています。
| Switch | 説明 |
|---|---|
| /help | コマンド ライン オプションを表示します。 |
| セットアップ モード | |
| /passive | 無人セットアップ モード。 ユーザーの操作は必要ありませんが、インストールの状態が表示されます。 セットアップの終了時に再起動が必要な場合は、コンピューターが 30 秒以内に再起動することを示すタイマー警告が表示されるダイアログ ボックスがユーザーに表示されます。 |
| /quiet | 非表示モードです。 これは無人モードと同じですが、状態またはエラー メッセージは表示されません。 |
| 再起動オプション | |
| /norestart | インストールが完了したときに再起動しない |
| /forcerestart | インストール後にコンピューターを再起動し、最初に開いているファイルを保存せずに、シャットダウン時に他のアプリケーションを強制的に閉じます。 |
| /warnrestart[:x] | コンピューターが x 秒で再起動することをユーザーに警告するタイマーを含むダイアログ ボックスを表示します。 (既定の設定は 30 秒です)。/quiet スイッチまたは /passive スイッチでの使用を目的としています。 |
| /promptrestart | 再起動を許可するようにローカル ユーザーに求めるダイアログ ボックスを表示します。 |
| 特別なオプション | |
| /forceappsclose | コンピューターのシャットダウン時に他のプログラムを強制的に閉じます。 |
| /log:path | インストール ログ ファイルのリダイレクトを許可します。 |
更新プログラムが適用されたことを確認する
Microsoft Baseline Security Analyzer
影響を受けるシステムにセキュリティ更新プログラムが適用されたことを確認するために、Microsoft Baseline Security Analyzer (MB (メガバイト)SA) ツールを使用できる場合があります。 詳細については、 このセキュリティ情報の「検出と展開のツールとガイダンス」セクションを参照してください。ファイル バージョンの検証
Microsoft Windows には複数のエディションがあるため、システムで次の手順が異なる場合があります。 該当する場合は、製品のドキュメントを参照して、これらの手順を完了してください。- [スタート] をクリックし、[検索] をクリックします。
- [検索結果] ウィンドウで、[検索コンパニオン] の [すべてのファイルとフォルダー] をクリックします。
- [ファイル名のすべてまたは一部] ボックスに、適切なファイル情報テーブルのファイル名を入力し、[検索] をクリックします。
- ファイルの一覧で、適切なファイル情報テーブルのファイル名を右クリックし、[プロパティ] をクリックします。 注 : オペレーティング システムのエディション、またはシステムにインストールされているプログラムによっては、ファイル情報テーブルに一覧表示されているファイルの一部がインストールされない場合があります。
- [バージョン] タブで、システムにインストールされているファイルのバージョンを、適切なファイル情報テーブルに記載されているバージョンと比較して確認します。 注: ファイル バージョン以外の属性は、インストール中に変更される可能性があります。 他のファイル属性とファイル情報テーブル内の情報の比較は、更新プログラムが適用されたことを確認するサポートされている方法ではありません。 また、場合によっては、インストール時にファイルの名前が変更されることがあります。 ファイルまたはバージョンの情報が存在しない場合は、他のいずれかの方法を使用して更新プログラムのインストールを確認します。
レジストリ キーの検証
このセクションの参照表に記載されているレジストリ キーを確認することで、このセキュリティ更新プログラムがインストールしたファイルを確認することもできます。これらのレジストリ キーには、インストールされているファイルの完全な一覧が含まれていない場合があります。 また、管理者または OEM がこのセキュリティ更新プログラムを Windows インストール ソース ファイルに統合またはスリップストリームすると、これらのレジストリ キーが正しく作成されない場合があります。
Windows Server 2003 (すべてのエディション)
参照テーブル
次の表に、このソフトウェアのセキュリティ更新プログラムの情報を示します。 その他の情報については、 このセクションのサブセクション「デプロイ情報」を参照してください。
デプロイ情報
更新プログラムのインストール
このセキュリティ更新プログラムをインストールすると、インストーラーチェック、システムで更新されている 1 つ以上のファイルが以前に Microsoft 修正プログラムによって更新されているかどうかを確認します。
これらのファイルのいずれかを更新する修正プログラムを以前にインストールした場合、インストーラーは RTMQFE、SP1QFE、または SP2QFE ファイルをシステムにコピーします。 それ以外の場合、インストーラーは RTMGDR、SP1GDR、または SP2GDR ファイルをシステムにコピーします。 セキュリティ更新プログラムには、これらのファイルのすべてのバリエーションが含まれていない場合があります。 この動作の詳細については、マイクロソフト サポート技術情報の記事824994を参照してください。
インストーラーの詳細については、Microsoft TechNetWeb サイトを参照してください。
修正プログラムなど、このセキュリティ情報に表示される用語の詳細については、マイクロソフト サポート技術情報の記事824684を参照してください。
このセキュリティ更新プログラムは、次のセットアップ スイッチをサポートしています。
| Switch | 説明 |
|---|---|
| /help | コマンド ライン オプションを表示します。 |
| セットアップ モード | |
| /passive | 無人セットアップ モード。 ユーザーの操作は必要ありませんが、インストールの状態が表示されます。 セットアップの終了時に再起動が必要な場合は、コンピューターが 30 秒以内に再起動することを示すタイマー警告が表示されるダイアログ ボックスがユーザーに表示されます。 |
| /quiet | 非表示モードです。 これは無人モードと同じですが、状態またはエラー メッセージは表示されません。 |
| 再起動オプション | |
| /norestart | インストールが完了しても再起動しません。 |
| /forcerestart | インストール後にコンピューターを再起動し、最初に開いているファイルを保存せずに、シャットダウン時に他のアプリケーションを強制的に閉じます。 |
| /warnrestart[:x] | コンピューターが x 秒で再起動することをユーザーに警告するタイマーを含むダイアログ ボックスを表示します。 (既定の設定は 30 秒です)。/quiet スイッチまたは /passive スイッチでの使用を目的としています。 |
| /promptrestart | 再起動を許可するようにローカル ユーザーに求めるダイアログ ボックスを表示します。 |
| 特別なオプション | |
| /overwriteoem | プロンプトを表示せずに OEM ファイルを上書きします。 |
| /nobackup | アンインストールに必要なファイルはバックアップしません。 |
| /forceappsclose | コンピューターのシャットダウン時に他のプログラムを強制的に閉じます。 |
| /log:path | インストール ログ ファイルのリダイレクトを許可します。 |
| /integrate:path | Windows ソース ファイルに更新プログラムを統合します。 これらのファイルは、スイッチで指定されているパスにあります。 |
| /extract[:p ath] | セットアップ プログラムを起動せずにファイルを抽出します。 |
| /Er | 拡張エラー報告を有効にします。 |
| /verbose | 詳細ログを有効にします。 インストール中に、%Windir%\CabBuild.log を作成します。 このログには、コピーされたファイルの詳細が表示されます。 このスイッチを使用すると、インストールが遅くなる可能性があります。 |
注: これらのスイッチを 1 つのコマンドに結合できます。 下位互換性のために、セキュリティ更新プログラムは、以前のバージョンのセットアップ プログラムで使用されるセットアップ スイッチの多くもサポートしています。 サポートされているインストール スイッチの詳細については、マイクロソフト サポート技術情報の記事262841を参照してください。
更新プログラムの削除
このセキュリティ更新プログラムは、次のセットアップ スイッチをサポートしています。
| Switch | 説明 |
|---|---|
| /help | コマンド ライン オプションを表示します。 |
| セットアップ モード | |
| /passive | 無人セットアップ モード。 ユーザーの操作は必要ありませんが、インストールの状態が表示されます。 セットアップの終了時に再起動が必要な場合は、コンピューターが 30 秒以内に再起動することを示すタイマー警告が表示されるダイアログ ボックスがユーザーに表示されます。 |
| /quiet | 非表示モードです。 これは無人モードと同じですが、状態またはエラー メッセージは表示されません。 |
| 再起動オプション | |
| /norestart | インストールが完了しても再起動しません。 |
| /forcerestart | インストール後にコンピューターを再起動し、最初に開いているファイルを保存せずに、シャットダウン時に他のアプリケーションを強制的に閉じます。 |
| /warnrestart[:x] | コンピューターが x 秒で再起動することをユーザーに警告するタイマーを含むダイアログ ボックスを表示します。 (既定の設定は 30 秒です)。/quiet スイッチまたは /passive スイッチでの使用を目的としています。 |
| /promptrestart | 再起動を許可するようにローカル ユーザーに求めるダイアログ ボックスを表示します。 |
| 特別なオプション | |
| /forceappsclose | コンピューターのシャットダウン時に他のプログラムを強制的に閉じます。 |
| /log:path | インストール ログ ファイルのリダイレクトを許可します。 |
更新プログラムが適用されたことを確認する
Microsoft Baseline Security Analyzer
影響を受けるシステムにセキュリティ更新プログラムが適用されたことを確認するために、Microsoft Baseline Security Analyzer (MB (メガバイト)SA) ツールを使用できる場合があります。 詳細については、このセキュリティ情報の「検出と展開のツールとガイダンス」セクションを参照してください。ファイル バージョンの検証
Microsoft Windows には複数のエディションがあるため、システムで次の手順が異なる場合があります。 該当する場合は、製品のドキュメントを参照して、これらの手順を完了してください。- [スタート] をクリックし、[検索] をクリックします。
- [検索結果] ウィンドウで、[検索コンパニオン] の [すべてのファイルとフォルダー] をクリックします。
- [ファイル名のすべてまたは一部] ボックスに、適切なファイル情報テーブルのファイル名を入力し、[検索] をクリックします。
- ファイルの一覧で、適切なファイル情報テーブルのファイル名を右クリックし、[プロパティ] をクリックします。 注 : オペレーティング システムのエディション、またはシステムにインストールされているプログラムによっては、ファイル情報テーブルに一覧表示されているファイルの一部がインストールされない場合があります。
- [バージョン] タブで、システムにインストールされているファイルのバージョンを、適切なファイル情報テーブルに記載されているバージョンと比較して確認します。 注: ファイル バージョン以外の属性は、インストール中に変更される可能性があります。 他のファイル属性とファイル情報テーブル内の情報の比較は、更新プログラムが適用されたことを確認するサポートされている方法ではありません。 また、場合によっては、インストール時にファイルの名前が変更されることがあります。 ファイルまたはバージョンの情報が存在しない場合は、他のいずれかの方法を使用して更新プログラムのインストールを確認します。
レジストリ キーの検証
このセクションの参照表に記載されているレジストリ キーを確認することで、このセキュリティ更新プログラムがインストールしたファイルを確認することもできます。これらのレジストリ キーには、インストールされているファイルの完全な一覧が含まれていない場合があります。 また、管理者または OEM がこのセキュリティ更新プログラムを Windows インストール ソース ファイルに統合またはスリップストリームすると、これらのレジストリ キーが正しく作成されない場合があります。
Windows Vista (すべてのエディション)
参照テーブル
次の表に、このソフトウェアのセキュリティ更新プログラムの情報を示します。 その他の情報については、 このセクションのサブセクション「デプロイ情報」を参照してください。
デプロイ情報
更新プログラムのインストール
このセキュリティ更新プログラムをインストールすると、インストーラーは、システムで更新されるファイルの 1 つ以上が以前に Microsoft 修正プログラムによって更新されたかどうかをチェックします。
修正プログラムなど、このセキュリティ情報に表示される用語の詳細については、マイクロソフト サポート技術情報の記事824684を参照してください。
このセキュリティ更新プログラムは、次のセットアップ スイッチをサポートしています。
| Switch | 説明 |
|---|---|
| /?、/h、/help | サポートされているスイッチのヘルプを表示します。 |
| /quiet | 状態またはエラー メッセージの表示を抑制します。 |
| /norestart | /quiet と組み合わせると、インストールを完了するために再起動が必要な場合でも、インストール後にシステムは再起動されません。 |
注: wusa.exe インストーラーの詳細については、マイクロソフト サポート技術情報の記事934307を参照してください。
更新プログラムが適用されたことを確認する
Microsoft Baseline Security Analyzer
影響を受けるシステムにセキュリティ更新プログラムが適用されたことを確認するために、Microsoft Baseline Security Analyzer (MB (メガバイト)SA) ツールを使用できる場合があります。 詳細については、 このセキュリティ情報の「検出と展開のツールとガイダンス」セクションを参照してください。ファイル バージョンの検証
Microsoft Windows には複数のエディションがあるため、システムで次の手順が異なる場合があります。 該当する場合は、製品のドキュメントを参照して、これらの手順を完了してください。- [スタート] をクリックし、[検索の開始] に更新ファイル名を入力します。
- [プログラム] の下にファイルが表示されたら、ファイル名を右クリックし、[プロパティ] をクリックします。
- [全般] タブで、ファイル サイズと、セキュリティ情報のKB (キロバイト)に関する記事で提供されているファイル情報テーブルを比較します。
- [詳細] タブをクリックして、ファイルのバージョンや変更日などの情報を、セキュリティ情報KB (キロバイト)記事に記載されているファイル情報テーブルと比較することもできます。
- 最後に、[以前の バージョン ] タブをクリックして、以前のバージョンのファイル情報と、ファイルの新しいバージョンまたは更新されたバージョンのファイル情報を比較することもできます。
Windows Server 2008 (すべてのエディション)
参照テーブル
次の表に、このソフトウェアのセキュリティ更新プログラムの情報を示します。 その他の情報については、 このセクションのサブセクション「デプロイ情報」を参照してください。
デプロイ情報
更新プログラムのインストール
このセキュリティ更新プログラムをインストールすると、インストーラーは、システムで更新されるファイルの 1 つ以上が以前に Microsoft 修正プログラムによって更新されたかどうかをチェックします。
修正プログラムなど、このセキュリティ情報に表示される用語の詳細については、マイクロソフト サポート技術情報の記事824684を参照してください。
このセキュリティ更新プログラムは、次のセットアップ スイッチをサポートしています。
| Switch | 説明 |
|---|---|
| /?、/h、/help | サポートされているスイッチのヘルプを表示します。 |
| /quiet | 状態またはエラー メッセージの表示を抑制します。 |
| /norestart | /quiet と組み合わせると、インストールを完了するために再起動が必要な場合でも、インストール後にシステムは再起動されません。 |
注: wusa.exe インストーラーの詳細については、マイクロソフト サポート技術情報の記事934307を参照してください。
更新プログラムが適用されたことを確認する
Microsoft Baseline Security Analyzer
影響を受けるシステムにセキュリティ更新プログラムが適用されたことを確認するために、Microsoft Baseline Security Analyzer (MB (メガバイト)SA) ツールを使用できる場合があります。 詳細については、 このセキュリティ情報の「検出と展開のツールとガイダンス」セクションを参照してください。ファイル バージョンの検証
Microsoft Windows には複数のエディションがあるため、システムで次の手順が異なる場合があります。 該当する場合は、製品のドキュメントを参照して、これらの手順を完了してください。- [スタート] をクリックし、[検索の開始] に更新ファイル名を入力します。
- [プログラム] の下にファイルが表示されたら、ファイル名を右クリックし、[プロパティ] をクリックします。
- [全般] タブで、ファイル サイズと、セキュリティ情報のKB (キロバイト)に関する記事で提供されているファイル情報テーブルを比較します。
- [詳細] タブをクリックして、ファイルのバージョンや変更日などの情報を、セキュリティ情報KB (キロバイト)記事に記載されているファイル情報テーブルと比較することもできます。
- 最後に、[以前の バージョン ] タブをクリックして、以前のバージョンのファイル情報と、ファイルの新しいバージョンまたは更新されたバージョンのファイル情報を比較することもできます。
その他の情報
謝辞
Microsoft は、お客様を保護するために Microsoft と協力していただきありがとうございます。
- Windows HTTP サービスの整数アンダーフローの脆弱性を報告するための iSIGHT パートナー ラボの Greg MacManus (CVE-2009-0086)
- Windows HTTP サービスの証明書名の不一致の脆弱性を報告するための Google の Wan-Teh Chang と Cem Paya (CVE-2009-0089)
Microsoft Active Protections Program (MAPP)
お客様のセキュリティ保護を強化するために、Microsoft は、毎月のセキュリティ更新プログラムのリリースの前に、主要なセキュリティ ソフトウェア プロバイダーに脆弱性情報を提供します。 セキュリティ ソフトウェア プロバイダーは、この脆弱性情報を使用して、ウイルス対策、ネットワークベースの侵入検出システム、ホストベースの侵入防止システムなどのセキュリティ ソフトウェアまたはデバイスを介して、お客様に更新された保護を提供できます。 セキュリティ ソフトウェア プロバイダーからアクティブな保護を利用できるかどうかを判断するには、Microsoft Active Protections Program (MAPP) パートナーに記載されているプログラム パートナーによって提供されるアクティブな保護 Web サイトにアクセスしてください。
サポート
- 米国およびカナダのお客様は、セキュリティ サポートまたは 1-866-PCSAFETY から テクニカル サポート を受けることができます。 セキュリティ更新プログラムに関連付けられているサポート呼び出しには料金はかかりません。 使用可能なサポート オプションの詳細については、Microsoft のヘルプとサポートを参照してください。
- 海外のお客様は、現地の Microsoft 子会社からサポートを受けることができます。 セキュリティ更新プログラムに関連付けられているサポートに対する料金はかかりません。 サポートの問題について Microsoft に問い合わせる方法の詳細については、国際サポートWeb サイトを参照してください。
免責情報
Microsoft サポート技術情報で提供される情報は、いかなる種類の保証もなく"現状のまま" 提供されます。 Microsoft は、商品性と特定の目的に対する適合性の保証を含め、明示または黙示を問わず、すべての保証を放棄します。 Microsoft Corporation またはそのサプライヤーは、Microsoft Corporation またはそのサプライヤーがこのような損害の可能性について通知された場合でも、直接的、間接的、付随的、派生的、ビジネス上の利益の損失、または特別な損害を含む一切の損害について一切の責任を負いません。 一部の州では、派生的損害または付随的損害に対する責任の除外または制限が認められていないため、前述の制限は適用されない場合があります。
リビジョン
- V1.0 (2009 年 4 月 14 日): セキュリティ情報が公開されました。
- V1.1 (2009 年 4 月 29 日): 関連する Microsoft サポート技術情報の記事の「このセキュリティ更新プログラムに関する既知の問題」セクションが更新されたことを伝えるために、このセキュリティ更新プログラムに関連するよく寄せられる質問 (FAQ) セクションにエントリ 960803を追加しました。 これは情報の変更のみです。
ビルド日: 2014-04-18T13:49:36Z-07:00