Microsoft Foundation クラス (MFC) ライブラリの脆弱性により、リモートでコードが実行される (2500212)
公開日: 2011 年 4 月 12 日 |更新日: 2018 年 10 月 9 日
バージョン: 5.0
一般情報
概要
このセキュリティ更新プログラムは、Microsoft Foundation Class (MFC) ライブラリを使用して構築された特定のアプリケーションで公開されている脆弱性を解決します。 この脆弱性により、ユーザーがこのような影響を受けるアプリケーションに関連付けられている正当なファイルを開き、そのファイルが特別に細工されたライブラリ ファイルと同じネットワーク フォルダーにある場合、リモートでコードが実行される可能性があります。 攻撃を成功させるには、ユーザーが信頼されていないリモート ファイル システムの場所または WebDAV 共有にアクセスし、この場所からドキュメントを開き、影響を受けるアプリケーションによって読み込まれる必要があります。
このセキュリティ更新プログラムは、Microsoft Visual Studio および Microsoft Visual C++ 再頒布可能パッケージ パッケージでサポートされているすべてのエディションで重要と評価されます。 詳細については、このセクションの「影響を受けるソフトウェア」および「影響を受けるソフトウェア」のサブセクションを参照してください。
2011 年 8 月 9 日にこのセキュリティ情報が再リリースされた理由
Microsoft はこのセキュリティ情報を再リリースし、影響を受けるソフトウェアとして Microsoft Visual Studio 2010 Service Pack 1 (KB (キロバイト)2565057) と Microsoft Visual C++ 2010 再頒布可能パッケージ Service Pack 1 (KB (キロバイト)2565063) を追加し、Microsoft Visual C++ 2005 Service Pack 1 再頒布可能パッケージ、Microsoft Visual C++ 2008 Service Pack 1 再頒布可能パッケージ、および Microsoft Visual C++ 2010 のファイル検証情報を修正しました再頒布可能パッケージ。
2011 年 6 月 14 日にこのセキュリティ情報が再リリースされた理由
Microsoft はこのセキュリティ情報を再リリースし、Microsoft Visual Studio 2005 Service Pack 1、Microsoft Visual Studio 2008 Service Pack 1、Microsoft Visual Studio 2010、Microsoft Visual C++ 2005 Service Pack 1 再頒布可能パッケージ、および Microsoft Visual C++ 2008 Service Pack 1 再頒布可能パッケージの更新プログラムを再提供しました。 この再推論された更新プログラムは、次の問題に対処するために、前の更新プログラムを置き換えます。
Visual C++ 再頒布可能パッケージ パッケージとその他の Visual Studio 更新プログラムの違いは何ですか?
Visual C++ 再頒布可能パッケージ パッケージは、アプリケーションを持つすべてのユーザーが再配布できる、この製品の完全なバージョンです。 Visual C++ 再頒布可能パッケージを提供する必要がある開発者は、これらのパッケージを取得してバンドルするか、セットアップにチェーンする必要があります。 その他の Visual Studio 更新プログラムは、以前に古いバージョンのVisual C++ 再頒布可能パッケージ製品をインストールした開発者、または Visual Studio 製品をインストールした開発者が利用できます。 これらの更新プログラム パッケージは、Microsoft Update を通じてのみ開発者に提供され、以前のバージョンのVisual C++ 再頒布可能パッケージまたは Visual Studio が存在する場合にのみ適用されます。
私はサードパーティのアプリケーション開発者であり、Visual C++ を使用しています。 アプリケーション操作方法更新しますか?
Visual C++ で開発されたアプリケーションを更新する方法は、MFC ライブラリへのリンク方法と、アプリケーションを Microsoft Visual C++ 再頒布可能パッケージ パッケージで配布するかどうかによって異なります。
Microsoft Visual C++ 2005 Service Pack 1 再頒布可能パッケージ
重要 \ リモート コード実行
重要
Microsoft Visual C++ 2008 Service Pack 1 再頒布可能パッケージ
重要 \ リモート コード実行
重要
Microsoft Visual C++ 2010 再頒布可能パッケージ
重要 \ リモート コード実行
重要
Microsoft Visual C++ 2010 再頒布可能パッケージ Service Pack 1
重要 \ リモート コード実行
重要
MFC の安全でないライブラリの読み込みの脆弱性 - CVE-2010-3190
Microsoft Foundation Classes (MFC) がビルドした特定のアプリケーションが DLL ファイルの読み込みを処理する方法に、リモートでコードが実行される脆弱性が存在します。 攻撃者がこの脆弱性を悪用した場合、影響を受けるシステムを完全に制御できる可能性があります。 このような攻撃者はプログラムをインストールしたり、データの閲覧、変更、削除を行ったり、完全なユーザー権限を持つ新しいアカウントを作成したりできるようになります。 システム上でアカウントのユーザー権限が少なく構成されているユーザーは、管理ユーザー権限で作業するユーザーに比べて、受ける影響は少ない可能性があります。
Microsoft Foundation Class (MFC) ライブラリとは
Microsoft Foundation Class (MFC) ライブラリは、Microsoft Windows でのプログラミング用のアプリケーション フレームワークです。 MFC は C++ で記述されており、ウィンドウ、メニュー、ダイアログ ボックスの管理などの標準的な操作を実行するために必要なコードの多くを提供します。基本的な入出力を実行する。データ オブジェクトのコレクションを格納します。
組織内のサーバー、デスクトップ、モバイル システムに展開するために必要なソフトウェアとセキュリティの更新プログラムを管理します。 詳細については、TechNet Update Management Center を参照してください。 Microsoft TechNet セキュリティ Web サイトは、Microsoft 製品のセキュリティに関する追加情報を提供します。
Microsoft Visual C++ 2005 Service Pack 1 再頒布可能パッケージ
はい
Microsoft Visual C++ 2008 Service Pack 1 再頒布可能パッケージ
はい
Microsoft Visual C++ 2010 再頒布可能パッケージ
はい
Microsoft Visual C++ 2010 再頒布可能パッケージ Service Pack 1
はい
注: MB (メガバイト)SA、Microsoft Update、および Windows Server Update Services の最新リリースでサポートされていないレガシ ソフトウェアを使用しているお客様は、Microsoft Baseline Security Analyzer にアクセスし、レガシ ツールを使用して包括的なセキュリティ更新プログラムの検出を作成する方法に関するレガシ製品サポート セクションを参照してください。
Windows Server Update Services
Windows Server Update Services (WSUS) を使用すると、情報技術管理者は、Windows オペレーティング システムを実行しているコンピューターに最新の Microsoft 製品更新プログラムを展開できます。 Windows Server Update Services を使用してセキュリティ更新プログラムを展開する方法の詳細については、TechNet の記事 「Windows Server Update Services」を参照してください。
Systems Management Server
次の表に、このセキュリティ更新プログラムの SMS 検出と展開の概要を示します。
ソフトウェア
SMS 2.0
SMS 2003 with SUIT
ITMU を使用した SMS 2003
Configuration Manager 2007
Microsoft Visual Studio .NET 2003 Service Pack 1
はい
はい
いいえ
いいえ
Microsoft Visual Studio 2005 Service Pack 1
いいえ
番号
イエス
はい
Microsoft Visual Studio 2008 Service Pack 1
いいえ
番号
イエス
はい
Microsoft Visual Studio 2010
いいえ
番号
イエス
はい
Microsoft Visual Studio 2010 Service Pack 1
いいえ
番号
イエス
はい
Microsoft Visual C++ 2005 Service Pack 1 再頒布可能パッケージ
いいえ
番号
イエス
はい
Microsoft Visual C++ 2008 Service Pack 1 再頒布可能パッケージ
いいえ
番号
イエス
はい
Microsoft Visual C++ 2010 再頒布可能パッケージ
いいえ
番号
イエス
はい
Microsoft Visual C++ 2010 再頒布可能パッケージ Service Pack 1
アプリケーション互換性ツールキット (ACT) には、Microsoft Windows Vista、Windows Update、Microsoft セキュリティ更新プログラム、または新しいバージョンの Windows インターネット エクスプローラーを環境内に展開する前に、アプリケーションの互換性の問題を評価して軽減するために必要なツールとドキュメントが含まれています。
i - Status messages\ w - Nonfatal warnings\ e - All error messages\ a - Start up of actions\ r - Action-specific records\ u - User requests\ c - Initial UI parameters\ m - Out-of-memory or fatal exit information\ o - Out-of-disk-space messages\ p - Terminal properties\ v - Verbose output\ x - Extra debugging information\ + - Append to existing log file\ ! - 各行を log\ * にフラッシュする - v オプションと x オプションを除くすべての情報をログに記録する
/log <LogFile>
/l* <LogFile と同等>
/sendreport
この更新プログラムのインストール データを Watson レポートとして Microsoft に送信します。 個人を特定できる情報は送信されません。
i - Status messages\ w - Nonfatal warnings\ e - All error messages\ a - Start up of actions\ r - Action-specific records\ u - User requests\ c - Initial UI parameters\ m - Out-of-memory or fatal exit information\ o - Out-of-disk-space messages\ p - Terminal properties\ v - Verbose output\ x - Extra debugging information\ + - Append to existing log file\ ! - 各行を log\ * にフラッシュする - v オプションと x オプションを除くすべての情報をログに記録する
/log <LogFile>
/l* <LogFile と同等>
/sendreport
この更新プログラムのインストール データを Watson レポートとして Microsoft に送信します。 個人を特定できる情報は送信されません。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\更新\Microsoft Visual Studio Team System 2008 Team Suite - ENU\KB (キロバイト)2538241\ "ThisVersionInstalled" = REG_SZ:"Y"
i - Status messages\ w - Nonfatal warnings\ e - All error messages\ a - Start up of actions\ r - Action-specific records\ u - User requests\ c - Initial UI parameters\ m - Out-of-memory or fatal exit information\ o - Out-of-disk-space messages\ p - Terminal properties\ v - Verbose output\ x - Extra debugging information\ + - Append to existing log file\ ! - 各行を log\ * にフラッシュする - v オプションと x オプションを除くすべての情報をログに記録する
/log <LogFile>
/l* <LogFile と同等>
/sendreport
この更新プログラムのインストール データを Watson レポートとして Microsoft に送信します。 個人を特定できる情報は送信されません。
Microsoft Visual Studio 2010:\ については、Microsoft サポート技術情報の記事2542054を参照してください
Microsoft Visual Studio 2010 Service Pack 1:\ については、Microsoft サポート技術情報の記事2565057を参照してください
レジストリ キーの検証
Microsoft Visual Studio 2010:\ HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\更新\Microsoft Visual Studio Team System 2010 Team Suite - ENU\KB (キロバイト)2542054\ "ThisVersionInstalled" = REG_SZ:"Y"
Microsoft Visual Studio 2010 Service Pack 1:\ HKEY_LOCAL_MACHINE\Software\Microsoft\DevDiv\VS\Servicing\10.0 の場合
i - Status messages\ w - Nonfatal warnings\ e - All error messages\ a - Start up of actions\ r - Action-specific records\ u - User requests\ c - Initial UI parameters\ m - Out-of-memory or fatal exit information\ o - Out-of-disk-space messages\ p - Terminal properties\ v - Verbose output\ x - Extra debugging information\ + - Append to existing log file\ ! - 各行を log\ * にフラッシュする - v オプションと x オプションを除くすべての情報をログに記録する
/log <LogFile>
/l* <LogFile と同等>
/sendreport
この更新プログラムのインストール データを Watson レポートとして Microsoft に送信します。 個人を特定できる情報は送信されません。
Microsoft Visual C++ 2005 Service Pack 1 再頒布可能パッケージ (x86):\ vcredist_x86 /q\ \ For Microsoft Visual C++ 2005 Service Pack 1 再頒布可能パッケージ (x64):\ vcredist_x64 /q\ \ For Microsoft Visual C++ 2005 Service Pack 1 再頒布可能パッケージ (IA64):\ vcredist_ia64 /q
再起動せずにインストールする
Microsoft Visual C++ 2005 Service Pack 1 再頒布可能パッケージ (x86):\ vcredist_x86 /r:n\ \ For Microsoft Visual C++ 2005 Service Pack 1 再頒布可能パッケージ (x64):\ vcredist_x64 /r:n\ \ Microsoft Visual C++ 2005 Service Pack 1 再頒布可能パッケージ (IA64):\ vcredist_ia64 /r:n
ログ ファイルを更新する
適用なし
詳細情報
検出と展開については、前のセクション 「検出と展開のツールとガイダンス」を参照してください。
再起動の要件
再起動が必要ですか?
この更新プログラムでは、再起動は必要ありません。
ホット パッチ
適用なし
削除情報
コントロール パネルで [プログラムの追加と削除] ツールを使用します。
ファイル情報
Microsoft サポート技術情報の記事2538242を参照してください
レジストリ キーの検証
Microsoft Visual C++ 2005 Service Pack 1 再頒布可能パッケージ (x86):\ {710f4c1c-cc18-4c49-8cbf-51240c89a1a2}\ \ Microsoft Visual C++ 2005 Service Pack 1 再頒布可能パッケージ (x64):\ {ad8a2fa1-06e7-4b0-0dd 927d-6e54b3d31028}\ \ For Microsoft Visual C++ 2005 Service Pack 1 再頒布可能パッケージ (IA64):\ {c2f60bda-462a-4a72-8e4d-ca431a56e9ea}\ \ 製品コードを使用してインストールを確認する方法については、Microsoft サポート技術情報の記事974653を参照してください。
Microsoft Visual C++ 2008 Service Pack 1 再頒布可能パッケージ (x86):\ vcredist_x86 /q\ \ For Microsoft Visual C++ 2008 Service Pack 1 再頒布可能パッケージ (x64):\ vcredist_x64 /q\ \ For Microsoft Visual C++ 2008 Service Pack 1 再頒布可能パッケージ (IA64):\ vcredist_ia64 /q
再起動せずにインストールする
Microsoft Visual C++ 2008 Service Pack 1 再頒布可能パッケージ (x86):\ vcredist_x86 /r:n\ \ For Microsoft Visual C++ 2008 Service Pack 1 再頒布可能パッケージ (x64):\ vcredist_x64 /r:n\ \ For Microsoft Visual C++ 2008 Service Pack 1 再頒布可能パッケージ (IA64):\ vcredist_ia64 /r:n
ログ ファイルを更新する
適用なし
詳細情報
検出と展開については、前のセクション 「検出と展開のツールとガイダンス」を参照してください。
再起動の要件
再起動が必要ですか?
この更新プログラムでは、再起動は必要ありません。
ホット パッチ
適用なし
削除情報
コントロール パネルで [プログラムの追加と削除] ツールを使用します。
ファイル情報
Microsoft サポート技術情報の記事2538243を参照してください
レジストリ キーの検証
Microsoft Visual C++ 2008 Service Pack 1 再頒布可能パッケージ (x86):\ HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\DevDiv\VC\Servicing\9.0\RED\1033\SP1\x86\IndividualFixes\2538241\ "Install" = dword:1\ \ For Microsoft Visual C++ 2008 Service Pack 2008 Service Pack 2008 1 再頒布可能パッケージ (x64):\ HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\DevDiv\VC\Servicing\9.0\RED\1033\SP1\amd64\IndividualFixes\2538241\ "Install" = dword:1\ \ For Microsoft Visual C++ 2008 Service Pack 1 再頒布可能パッケージ (x64):\ HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\DevDiv\VC\Servicing\9.0\RED\1033\SP1\ ia64\IndividualFixes\2538241\ "Install" = dword:1
Microsoft Visual C++ 2010 Service Pack 1 再頒布可能パッケージ
デプロイ
ユーザーの介入なしでインストールする
Microsoft Visual C++ 2010 再頒布可能パッケージおよび Microsoft Visual C++ 2010 再頒布可能パッケージ Service Pack 1 (x86):\ vcredist_x86 /q\ \ For Microsoft Visual C++ 2010 再頒布可能パッケージおよび Microsoft Visual C++ 2010 用 2010 再頒布可能パッケージ Service Pack 1 (x64):\ vcredist_x64 /q\ \ For Microsoft Visual C++ 2010 再頒布可能パッケージおよび Microsoft Visual C++ 2010 再頒布可能パッケージ Service Pack 1 (IA64):\ vcredist_ia64 /q
再起動せずにインストールする
Microsoft Visual C++ 2010 再頒布可能パッケージおよび Microsoft Visual C++ 2010 再頒布可能パッケージ Service Pack 1 (x86):\ vcredist_x86 /norestart\ \ For Microsoft Visual C++ 2010 再頒布可能パッケージおよび Microsoft Visual C++ 2 2010 再頒布可能パッケージ Service Pack 1 (x64):\ vcredist_x64 /norestart\ \ \ For Microsoft Visual C++ 2010 再頒布可能パッケージおよび Microsoft Visual C++ 2010 再頒布可能パッケージ Service Pack 1 (IA64):\ /norestart のvcredist_ia64
Microsoft Visual C++ 2010 再頒布可能パッケージ Service Pack 1:\ については、Microsoft サポート技術情報の記事 2565063を参照してください
レジストリ キーの検証
Microsoft Visual C++ 2010 再頒布可能パッケージ (x86):\ HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\VisualStudio\10.0\VC\VCRedist\x86\KB (キロバイト)2467173\ "Install" = dword:1\ \ For Microsoft Visual C++ 2010 再頒布可能パッケージ (x64):\ HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\VisualStudio\10.0\VC\VCRedist\x64\KB (キロバイト)2467173\ "Install" = dword:1\ \ For Microsoft Visual C++ 2010 再頒布可能パッケージ (IA64):\ HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\VisualStudio\10.0\VC\VCRedist\IA64\KB (キロバイト)2467173\ "Install" = dword:1
Microsoft Visual C++ 2010 再頒布可能パッケージ Service Pack 1 (x86):\ HKEY_LOCAL_MACHINE\SOFTWARE\ Microsoft\DevDiv\vc\Servicing\10.0\red\x86\1033\ "Install" = dword:1\ \ For Microsoft Visual C++ 2010 再頒布可能パッケージ Service Pack 1 (x64):\ HKEY_LOCAL_MACHINE\SOFTWARE\ Microsoft\DevDiv\vc\Servicing\10.0\red\amd64\1033\ "Install" = dword:1\ \ For Microsoft Visual C++ 2010 再頒布可能パッケージ Service Pack 1 (IA64):\ HKEY_LOCAL_MACHINE\SOFTWARE\ Microsoft\DevDiv\vc\Servicing\10.0\red\ia64\1033\ "Install" = dword:1
i - Status messages\ w - Nonfatal warnings\ e - All error messages\ a - Start up of actions\ r - Action-specific records\ u - User requests\ c - Initial UI parameters\ m - Out-of-memory or fatal exit information\ o - Out-of-disk-space messages\ p - Terminal properties\ v - Verbose output\ x - Extra debugging information\ + - Append to existing log file\ ! - 各行を log\ * にフラッシュする - v オプションと x オプションを除くすべての情報をログに記録する
/log <LogFile>
/l* <LogFile と同等>
/sendreport
この更新プログラムのインストール データを Watson レポートとして Microsoft に送信します。 個人を特定できる情報は送信されません。
海外のお客様は、現地の Microsoft 子会社からサポートを受けることができます。 セキュリティ更新プログラムに関連付けられているサポートに対する料金はかかりません。 サポートの問題について Microsoft に問い合わせる方法の詳細については、国際サポート Web サイトを参照してください。
免責情報
Microsoft サポート技術情報で提供される情報は、いかなる種類の保証もなく"現状のまま" 提供されます。 Microsoft は、商品性と特定の目的に対する適合性の保証を含め、明示または黙示を問わず、すべての保証を放棄します。 Microsoft Corporation またはそのサプライヤーは、Microsoft Corporation またはそのサプライヤーがこのような損害の可能性について通知された場合でも、直接的、間接的、付随的、派生的、ビジネス上の利益の損失、または特別な損害を含む一切の損害について一切の責任を負いません。 一部の州では、派生的損害または付随的損害に対する責任の除外または制限が認められていないため、前述の制限は適用されない場合があります。
V3.0 (2011 年 6 月 14 日): Microsoft Visual Studio 2005 Service Pack 1、Microsoft Visual Studio 2008 Service Pack 1、Microsoft Visual Studio 2010、Microsoft Visual C++ 2005 Service Pack 1 再頒布可能パッケージ、および Microsoft Visual C++ 2008 Service Pack 1 再頒布可能パッケージの更新プログラムを再提供しました。 この更新プログラムを以前にインストールしたお客様は、影響を受けるシステムに新しいパッケージをインストールする必要があります。
V4.0 (2011 年 8 月 9 日): 影響を受けるソフトウェアとして、Microsoft Visual Studio 2010 Service Pack 1 (KB (キロバイト)2565057) と Microsoft Visual C++ 2010 再頒布可能パッケージ Service Pack 1 (KB (キロバイト)2565063) を追加しました。 詳細については、更新プログラムに関する FAQ を参照してください。 また、Microsoft Visual C++ 2005 Service Pack 1 再頒布可能パッケージ、Microsoft Visual C++ 2008 Service Pack 1 再頒布可能パッケージ、および Microsoft Visual C++ 2010 再頒布可能パッケージのファイル検証情報も修正しました。
V4.1 (2011 年 11 月 23 日): Microsoft Visual C++ 2010 再頒布可能パッケージおよび Microsoft Visual C++ 2010 再頒布可能パッケージ Service Pack 1 のインストール スイッチとスイッチ テーブルを修正しました。 これは情報の変更のみです。
Windows Server Update Services を使用して、ネットワーク上のコンピューターにオペレーティング システムの更新プログラムを展開する方法について説明します。 適切な展開オプションを選択し、WSUS と Microsoft Azure Update Management を組み合わせて、サーバーの更新プログラムを管理します。