マイクロソフト セキュリティ情報 MS11-050 - 緊急

「問題を緩和する要素」とは、設定、一般的な構成または一般的な最善策、既定の状態により、脆弱性の悪用の深刻度が低くなる可能性がある要素を指します。次の「問題を緩和する要素」は、お客様の環境で役立つ場合があります。

• Web ベースの攻撃のシナリオでは、攻撃者がこの脆弱性の悪用を意図した Web ページが含まれている Web サイトをホストする可能性があります。さらに、侵害された Web サイトおよびユーザー提供のコンテンツまたは広告を受け入れる、またはホストする Web サイトに、特別に細工されたコンテンツが含まれ、この脆弱性を悪用する可能性があります。しかし、すべての場合において、攻撃者が強制的にユーザーをこれらの Web サイトに訪問させる方法はありません。それに代わり、攻撃者はユーザーを攻撃者の Web サイトに訪問させようとします。一般的には、ユーザーに電子メール メッセージまたはインスタント メッセンジャーのメッセージのリンクをクリックさせ、攻撃者の Web サイトへ誘導します。
• 既定で、すべてのサポートされているバージョンの Microsoft Outlook、Microsoft Outlook Express および Windows メールは、HTML 形式の電子メール メッセージを制限付きサイト ゾーンで開きます。制限付きサイト ゾーンはスクリプトおよび ActiveX コントロールを無効にし、この脆弱性を悪用し、悪意のあるコードを実行しようとする攻撃のリスクを排除するのに役立ちます。しかし、ユーザーが電子メール メッセージのリンクをクリックすると、Web ベースの攻撃シナリオで悪用した脆弱性の影響を受ける可能性があります。
• 既定で、Windows Server 2003、Windows Server 2008 および Windows Server 2008 R2 上の Internet Explorer は、「セキュリティ強化の構成」と呼ばれる制限されたモードで実行されます。このモードは、この脆弱性の影響を緩和します。Internet Explorer のセキュリティ強化の構成に関する詳細情報については、この脆弱性に関する「よく寄せられる質問」をご覧ください。
• Internet Explorer 6、Internet Explorer 7 および Internet Explorer 9 は、この脆弱性の影響を受けません。

回避策は、設定または構成の変更を示しており、基本的な脆弱性を正すものではありませんが、更新プログラムを適用する前に既知の攻撃方法を阻止するのに役立ちます。マイクロソフトは、以下の回避策を検証し、この回避策が機能性を低下させるかどうかについて、説明の部分で述べています。

• インターネットおよびローカル イントラネット セキュリティ ゾーンの設定を「高」に設定し、これらのゾーンで ActiveX コントロールおよびアクティブ スクリプトをブロックする

  インターネット セキュリティ ゾーンの設定を変更し、ActiveX コントロールおよびアクティブ スクリプトをブロックすることは、この脆弱性の悪用を防ぐのに役立ちます。これには、ブラウザーのセキュリティ設定を「高」に設定して実行します。

  Internet Explorer のブラウザーのセキュリティ レベルを上げるには、以下のステップを実行してください。

  1. Internet Explorer の [ツール] メニューの [インターネット オプション] をクリックします。
  2. [インターネット オプション] ダイアログ ボックスで、[セキュリティ] タブをクリックし、次に [インターネット] アイコンをクリックします。
  3. [このゾーンのセキュリティのレベル] の下のスライダーのつまみを「高」まで移動させます。これにより、訪問するすべての Web サイトのセキュリティ レベルが「高」に設定されます。

  注: スライダーが表示されていない場合、[既定のレベル] ボタンをクリックし、次にスライダーを「高」に移動させます。

  注: セキュリティ レベルを「高」に設定すると、Web サイトが正しく動作しない場合があります。この設定の変更後、Web サイトの使用が困難になり、そのサイトが安全だと確信できる場合は、そのサイトを [信頼済みサイト] に追加できます。これにより、セキュリティが「高」に設定されていても、そのサイトが適切に実行されます。

  回避策の影響: ActiveX コントロールおよびアクティブ スクリプトをブロックすると、別の影響があります。インターネットまたはイントラネット上の多くの Web サイトはActiveX またはアクティブ スクリプトを使用して、追加の機能を提供します。たとえば、オンラインの電子商取引またはオンライン バンキング サイトには ActiveX コントロールを使用して、メニュー、注文書、計算書などを提供しているものもあります。ActiveX コントロールまたはアクティブ スクリプトのブロックはグローバル設定であり、すべてのインターネットおよびイントラネット サイトに影響を及ぼします。ActiveX コントロールおよびアクティブ スクリプトをこれらの Web サイトでブロックしたくない場合、「信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する」で説明されているステップを行ってください。

  信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する

  インターネット ゾーンおよびローカル イントラネット ゾーンで ActiveX コントロールおよびアクティブ スクリプトをブロックするように設定後、信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加できます。これにより、信頼されていない Web サイトからの攻撃を防ぎながら、現在とまったく同じ様に、信頼する Web サイトを引き続き使用できます。マイクロソフトは信頼できる Web サイトのみを [信頼済み] サイト ゾーンに追加することを推奨します。

  これを行うためには、次のステップを実行します。

  1. Internet Explorer で [ツール] をクリックし、[インターネット オプション] をクリックします。次に [セキュリティ] タブをクリックします。
  2. [Web コンテンツのゾーンを選択してセキュリティのレベルを設定する] で、[信頼済みサイト] をクリックし、次に [サイト] をクリックします。
  3. 暗号化されたチャネルを必要としない Web サイトを追加したい場合、[このゾーンのサイトにはすべてサーバーの確認 (https:) を必要とする] のチェック ボックスをクリックし、チェックを外します。
  4. [次の Web サイトをゾーンに追加する] で、信頼する Web サイトの URL を入力し、次に [追加] ボタンをクリックします。
  5. ゾーンに追加したい各 Web サイトについて、これらのステップを繰り返します。
  6. [OK] を 2 回クリックし、変更を許可し、Internet Explorer に戻ります。

  注: システムで悪質な動作が行われないと信頼できるすべてのサイトを追加します。特に追加すべき 2 つの Web サイトは *.windowsupdate.microsoft.com および *.update.microsoft.com です。これらはセキュリティ更新プログラムをホストする Web サイトで、セキュリティ更新プログラムのインストールには ActiveX コントロールが必要です。

• インターネットおよびイントラネット ゾーンで、アクティブ スクリプトの実行前にダイアログを表示するように Internet Explorer を構成する、または アクティブ スクリプトを無効にするよう構成する

  インターネットおよびローカルのイントラネット セキュリティ ゾーンでアクティブ スクリプトが実行される前にダイアログが表示されるように設定を変更、またはアクティブ スクリプトを無効にするよう設定を変更することにより、この脆弱性の悪用を防ぐ手助けを行うことができます。これを行うためには、次のステップを実行します。

  1. Internet Explorer で、[ツール] メニューから [インターネット オプション] をクリックします。
  2. [セキュリティ] タブをクリックします。
  3. [インターネット] のアイコンをクリックし、次に [レベルのカスタマイズ] ボタンをクリックします。
  4. [設定] の [スクリプト] セクションの [アクティブ スクリプト] で [ダイアログを表示する] または [無効にする] をクリックします。次に [OK] をクリックします。
  5. [イントラネット] をクリックし、[レベルのカスタマイズ] をクリックします。
  6. [設定] の [スクリプト] セクションの [アクティブ スクリプト] で [ダイアログを表示する] または [無効にする] をクリックします。次に [OK] をクリックします。
  7. [OK] を 2 回クリックし、Internet Explorer に戻ります。

  注: インターネットおよびイントラネットのセキュリティ ゾーンでアクティブ スクリプトを無効にすると、Web サイトが正しく動作しなくなる場合があります。この設定の変更後、Web サイトの使用が困難になり、そのサイトが安全だと確信できる場合は、そのサイトを [信頼済みサイト] に追加できます。これにより、その Web サイトは正しく動作するようになります。

  回避策の影響: アクティブ スクリプトの実行前にダイアログを表示すると、別の影響があります。インターネットまたはイントラネット上の多くの Web サイトはアクティブ スクリプトを使用して、追加の機能を提供しています。たとえば、オンラインの電子商取引またはオンライン バンキング サイトにはアクティブ スクリプトを使用して、メニュー、注文書、計算書などを提供しているものもあります。アクティブ スクリプトの実行前にダイアログを表示する設定はグローバル設定であり、すべてのインターネットおよびイントラネット サイトに影響を及ぼします。この回避策を行うと、ダイアログが頻繁に表示されます。訪問している Web サイトが信頼できる場合、各ダイアログ表示で [はい] をクリックしてアクティブ スクリプトを実行してください。これらのすべての Web サイトでダイアログ表示が必要ない場合、「信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する」で説明されているステップを行ってください。

  信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する

  インターネット ゾーンおよびローカル イントラネット ゾーンで ActiveX コントロールおよびアクティブ スクリプトの実行前にダイアログを表示するように設定した後、信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加できます。これにより、信頼されていない Web サイトからの攻撃を防ぎながら、現在とまったく同じ様に、信頼する Web サイトを引き続き使用できます。マイクロソフトは信頼できる Web サイトのみを [信頼済み] サイト ゾーンに追加することを推奨します。

  これを行うためには、次のステップを実行します。

  1. Internet Explorer で [ツール] をクリックし、[インターネット オプション] をクリックします。次に [セキュリティ] タブをクリックします。
  2. [Web コンテンツのゾーンを選択してセキュリティのレベルを設定する] で、[信頼済みサイト] をクリックし、次に [サイト] をクリックします。
  3. 暗号化されたチャネルを必要としない Web サイトを追加したい場合、[このゾーンのサイトにはすべてサーバーの確認 (https:) を必要とする] のチェック ボックスをクリックし、チェックを外します。
  4. [次の Web サイトをゾーンに追加する] で、信頼する Web サイトの URL を入力し、次に [追加] ボタンをクリックします。
  5. ゾーンに追加したい各 Web サイトについて、これらのステップを繰り返します。
  6. [OK] を 2 回クリックし、変更を許可し、Internet Explorer に戻ります。

  注: システムで悪質な動作が行われないと信頼できるすべてのサイトを追加します。特に追加すべき 2 つの Web サイトは *.windowsupdate.microsoft.com および *.update.microsoft.com です。これらはセキュリティ更新プログラムをホストする Web サイトで、セキュリティ更新プログラムのインストールには ActiveX コントロールが必要です。

どのようなことが起こる可能性がありますか?
これは情報漏えいの脆弱性です。攻撃者はこの脆弱性を悪用して、ユーザーが Web コンテンツをダウンロードした場合に、ブラウザーに想定外の動作を起こさせ、異なるドメインまたはドメイン以外の Internet Explorer のゾーンや攻撃者の Web ページのゾーンからコンテンツを閲覧する可能性があります。

何が原因で起こりますか?
この脆弱性は、特定のプロセスの間に Internet Explorer が Web ページを正しく呼び出さないことが原因で起こります。

この脆弱性により、攻撃者は何を行う可能性がありますか?
攻撃者はこの脆弱性を悪用して、ブラウザーに想定外の動作を起こさせ、異なるドメインまたはドメイン以外の Internet Explorer のゾーンや攻撃者の Web ページのゾーンからコンテンツを閲覧する可能性があります。

攻撃者はこの脆弱性をどのように悪用する可能性がありますか?
攻撃者は、Internet Explorer を介してこの脆弱性の悪用を目的として特別に細工された Web コンテンツをアップロードし、その Web サイトをダウンロードするようにユーザーを誘導する可能性があります。また、攻撃者は侵害された Web サイトおよびユーザーが提供したコンテンツや広告を受け入れるまたはホストする Web サイトを利用する可能性があります。これらの Web サイトには、この脆弱性を悪用する可能性のある特別に細工されたコンテンツが含まれている場合があります。しかし、すべての場合において、攻撃者が強制的にユーザーをこれらの Web サイトに訪問させ、コンテンツをダウンロードさせる方法はありません。その代わり、攻撃者はユーザーを攻撃者の Web サイトに訪問させ、コンテンツをダウンロードさせようとします。一般的には、ユーザーに電子メール メッセージまたはインスタント メッセンジャーのメッセージのリンクをクリックさせ、攻撃者の Web サイトへ誘導します。 また、バナー広告や、別の方法を悪用して影響を受けるコンピューターに特別に細工した Web コンテンツを提供し、それを表示する可能性もあります。

主にどのようなコンピューターがこの脆弱性による危険にさらされますか?
この脆弱性により、悪意のある動作が起こるには、ユーザーがログオンし、Web サイトを訪問して、特別に細工したコンテンツをダウンロードすることすることが攻撃者にとっての必要条件となります。このため、ワークステーションまたはターミナル サーバーなど、Internet Explorer を頻繁に使用するコンピューターが、最もこの脆弱性の危険にさらされる可能性があります。

Windows Server 2003、Windows Server 2008 または Windows Server 2008 R2 用の Internet Explorer を実行している場合、この脆弱性の影響は緩和されますか?
はい。既定で、Windows Server 2003、Windows Server 2008 および Windows Server 2008 R2 上の Internet Explorer は、「セキュリティ強化の構成」と呼ばれる制限されたモードで実行されます。セキュリティ強化の構成は、Internet Explorer で事前に設定され、ユーザーまたは管理者が特別に細工された Web コンテンツをサーバーにダウンロードし、実行する危険性を低減します。これは、Internet Explorer の信頼済みサイト ゾーンに追加していない Web サイトに対する「緩和する要素」に該当します。

この更新プログラムはどのように問題を修正しますか?
この更新プログラムは、Internet Explorer が Web サーバーで提供されたコンテンツ設定を強化する方法を修正して、この脆弱性を解決します。

このセキュリティ情報のリリース時に、この脆弱性は一般に公開されていましたか?
いいえ。マイクロソフトは協調的な脆弱性の公開により、この脆弱性に関する情報を受けました。

このセキュリティ情報の公開時に、マイクロソフトはこの脆弱性が悪用されたという報告を受けていましたか?
いいえ。このセキュリティ情報が最初に公開された段階で、マイクロソフトはこの脆弱性が悪用され、お客様が攻撃されたということを示す情報は受けておらず、また、公開された検証用コードのいかなる実例の存在も確認しておりません。

「問題を緩和する要素」とは、設定、一般的な構成または一般的な最善策、既定の状態により、脆弱性の悪用の深刻度が低くなる可能性がある要素を指します。次の「問題を緩和する要素」は、お客様の環境で役立つ場合があります。

• Web ベースの攻撃のシナリオでは、攻撃者がこの脆弱性の悪用を意図した Web ページが含まれている Web サイトをホストする可能性があります。さらに、侵害された Web サイトおよびユーザー提供のコンテンツまたは広告を受け入れる、またはホストする Web サイトに、特別に細工されたコンテンツが含まれ、この脆弱性を悪用する可能性があります。しかし、すべての場合において、攻撃者が強制的にユーザーをこれらの Web サイトに訪問させる方法はありません。それに代わり、攻撃者はユーザーを攻撃者の Web サイトに訪問させようとします。一般的には、ユーザーに電子メール メッセージまたはインスタント メッセンジャーのメッセージのリンクをクリックさせ、攻撃者の Web サイトへ誘導します。
• 攻撃者がこの脆弱性を悪用した場合、ログオンしたユーザーと同じユーザー権限を取得する可能性があります。システムでユーザー権限が低い設定のアカウントを持つユーザーは、管理者ユーザー権限で実行しているユーザーよりも、この脆弱性による影響が少ないと考えられます。
• 既定で、すべてのサポートされているバージョンの Microsoft Outlook、Microsoft Outlook Express および Windows メールは、HTML 形式の電子メール メッセージを制限付きサイト ゾーンで開きます。制限付きサイト ゾーンはスクリプトおよび ActiveX コントロールを無効にし、この脆弱性を悪用し、悪意のあるコードを実行しようとする攻撃のリスクを排除するのに役立ちます。しかし、ユーザーが電子メール メッセージのリンクをクリックすると、Web ベースの攻撃シナリオで悪用した脆弱性の影響を受ける可能性があります。
• 既定で、Windows Server 2003、Windows Server 2008 および Windows Server 2008 R2 上の Internet Explorer は、「セキュリティ強化の構成」と呼ばれる制限されたモードで実行されます。このモードは、この脆弱性の影響を緩和します。Internet Explorer のセキュリティ強化の構成に関する詳細情報については、この脆弱性に関する「よく寄せられる質問」をご覧ください。

回避策は、設定または構成の変更を示しており、基本的な脆弱性を正すものではありませんが、更新プログラムを適用する前に既知の攻撃方法を阻止するのに役立ちます。マイクロソフトは、以下の回避策を検証し、この回避策が機能性を低下させるかどうかについて、説明の部分で述べています。

• インターネットおよびローカル イントラネット セキュリティ ゾーンの設定を「高」に設定し、これらのゾーンで ActiveX コントロールおよびアクティブ スクリプトをブロックする

  インターネット セキュリティ ゾーンの設定を変更し、ActiveX コントロールおよびアクティブ スクリプトをブロックすることは、この脆弱性の悪用を防ぐのに役立ちます。これには、ブラウザーのセキュリティ設定を「高」に設定して実行します。

  Internet Explorer のブラウザーのセキュリティ レベルを上げるには、以下のステップを実行してください。

  1. Internet Explorer の [ツール] メニューの [インターネット オプション] をクリックします。
  2. [インターネット オプション] ダイアログ ボックスで、[セキュリティ] タブをクリックし、次に [インターネット] アイコンをクリックします。
  3. [このゾーンのセキュリティのレベル] の下のスライダーのつまみを「高」まで移動させます。これにより、訪問するすべての Web サイトのセキュリティ レベルが「高」に設定されます。

  注: スライダーが表示されていない場合、[既定のレベル] ボタンをクリックし、次にスライダーを「高」に移動させます。

  注: セキュリティ レベルを「高」に設定すると、Web サイトが正しく動作しない場合があります。この設定の変更後、Web サイトの使用が困難になり、そのサイトが安全だと確信できる場合は、そのサイトを [信頼済みサイト] に追加できます。これにより、セキュリティが「高」に設定されていても、そのサイトが適切に実行されます。

  回避策の影響: ActiveX コントロールおよびアクティブ スクリプトをブロックすると、別の影響があります。インターネットまたはイントラネット上の多くの Web サイトはActiveX またはアクティブ スクリプトを使用して、追加の機能を提供します。たとえば、オンラインの電子商取引またはオンライン バンキング サイトには ActiveX コントロールを使用して、メニュー、注文書、計算書などを提供しているものもあります。ActiveX コントロールまたはアクティブ スクリプトのブロックはグローバル設定であり、すべてのインターネットおよびイントラネット サイトに影響を及ぼします。ActiveX コントロールおよびアクティブ スクリプトをこれらの Web サイトでブロックしたくない場合、「信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する」で説明されているステップを行ってください。

  信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する

  インターネット ゾーンおよびローカル イントラネット ゾーンで ActiveX コントロールおよびアクティブ スクリプトをブロックするように設定後、信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加できます。これにより、信頼されていない Web サイトからの攻撃を防ぎながら、現在とまったく同じ様に、信頼する Web サイトを引き続き使用できます。マイクロソフトは信頼できる Web サイトのみを [信頼済み] サイト ゾーンに追加することを推奨します。

  これを行うためには、次のステップを実行します。

  1. Internet Explorer で [ツール] をクリックし、[インターネット オプション] をクリックします。次に [セキュリティ] タブをクリックします。
  2. [Web コンテンツのゾーンを選択してセキュリティのレベルを設定する] で、[信頼済みサイト] をクリックし、次に [サイト] をクリックします。
  3. 暗号化されたチャネルを必要としない Web サイトを追加したい場合、[このゾーンのサイトにはすべてサーバーの確認 (https:) を必要とする] のチェック ボックスをクリックし、チェックを外します。
  4. [次の Web サイトをゾーンに追加する] で、信頼する Web サイトの URL を入力し、次に [追加] ボタンをクリックします。
  5. ゾーンに追加したい各 Web サイトについて、これらのステップを繰り返します。
  6. [OK] を 2 回クリックし、変更を許可し、Internet Explorer に戻ります。

  注: システムで悪質な動作が行われないと信頼できるすべてのサイトを追加します。特に追加すべき 2 つの Web サイトは *.windowsupdate.microsoft.com および *.update.microsoft.com です。これらはセキュリティ更新プログラムをホストする Web サイトで、セキュリティ更新プログラムのインストールには ActiveX コントロールが必要です。

• インターネットおよびイントラネット ゾーンで、アクティブ スクリプトの実行前にダイアログを表示するように Internet Explorer を構成する、または アクティブ スクリプトを無効にするよう構成する

  インターネットおよびローカルのイントラネット セキュリティ ゾーンでアクティブ スクリプトが実行される前にダイアログが表示されるように設定を変更、またはアクティブ スクリプトを無効にするよう設定を変更することにより、この脆弱性の悪用を防ぐ手助けを行うことができます。これを行うためには、次のステップを実行します。

  1. Internet Explorer で、[ツール] メニューから [インターネット オプション] をクリックします。
  2. [セキュリティ] タブをクリックします。
  3. [インターネット] のアイコンをクリックし、次に [レベルのカスタマイズ] ボタンをクリックします。
  4. [設定] の [スクリプト] セクションの [アクティブ スクリプト] で [ダイアログを表示する] または [無効にする] をクリックします。次に [OK] をクリックします。
  5. [イントラネット] をクリックし、[レベルのカスタマイズ] をクリックします。
  6. [設定] の [スクリプト] セクションの [アクティブ スクリプト] で [ダイアログを表示する] または [無効にする] をクリックします。次に [OK] をクリックします。
  7. [OK] を 2 回クリックし、Internet Explorer に戻ります。

  注: インターネットおよびイントラネットのセキュリティ ゾーンでアクティブ スクリプトを無効にすると、Web サイトが正しく動作しなくなる場合があります。この設定の変更後、Web サイトの使用が困難になり、そのサイトが安全だと確信できる場合は、そのサイトを [信頼済みサイト] に追加できます。これにより、その Web サイトは正しく動作するようになります。

  回避策の影響: アクティブ スクリプトの実行前にダイアログを表示すると、別の影響があります。インターネットまたはイントラネット上の多くの Web サイトはアクティブ スクリプトを使用して、追加の機能を提供しています。たとえば、オンラインの電子商取引またはオンライン バンキング サイトにはアクティブ スクリプトを使用して、メニュー、注文書、計算書などを提供しているものもあります。アクティブ スクリプトの実行前にダイアログを表示する設定はグローバル設定であり、すべてのインターネットおよびイントラネット サイトに影響を及ぼします。この回避策を行うと、ダイアログが頻繁に表示されます。訪問している Web サイトが信頼できる場合、各ダイアログ表示で [はい] をクリックしてアクティブ スクリプトを実行してください。これらのすべての Web サイトでダイアログ表示が必要ない場合、「信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する」で説明されているステップを行ってください。

  信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する

  インターネット ゾーンおよびローカル イントラネット ゾーンで ActiveX コントロールおよびアクティブ スクリプトの実行前にダイアログを表示するように設定した後、信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加できます。これにより、信頼されていない Web サイトからの攻撃を防ぎながら、現在とまったく同じ様に、信頼する Web サイトを引き続き使用できます。マイクロソフトは信頼できる Web サイトのみを [信頼済み] サイト ゾーンに追加することを推奨します。

  これを行うためには、次のステップを実行します。

  1. Internet Explorer で [ツール] をクリックし、[インターネット オプション] をクリックします。次に [セキュリティ] タブをクリックします。
  2. [Web コンテンツのゾーンを選択してセキュリティのレベルを設定する] で、[信頼済みサイト] をクリックし、次に [サイト] をクリックします。
  3. 暗号化されたチャネルを必要としない Web サイトを追加したい場合、[このゾーンのサイトにはすべてサーバーの確認 (https:) を必要とする] のチェック ボックスをクリックし、チェックを外します。
  4. [次の Web サイトをゾーンに追加する] で、信頼する Web サイトの URL を入力し、次に [追加] ボタンをクリックします。
  5. ゾーンに追加したい各 Web サイトについて、これらのステップを繰り返します。
  6. [OK] を 2 回クリックし、変更を許可し、Internet Explorer に戻ります。

  注: システムで悪質な動作が行われないと信頼できるすべてのサイトを追加します。特に追加すべき 2 つの Web サイトは *.windowsupdate.microsoft.com および *.update.microsoft.com です。これらはセキュリティ更新プログラムをホストする Web サイトで、セキュリティ更新プログラムのインストールには ActiveX コントロールが必要です。

どのようなことが起こる可能性がありますか?
これはリモートでコードが実行される脆弱性です。攻撃者がこの脆弱性を悪用した場合、ログオンしたユーザーと同じユーザー権限を取得する可能性があります。システムでユーザー権限が低い設定のアカウントを持つユーザーは、管理者ユーザー権限で実行しているユーザーよりも、この脆弱性による影響が少ないと考えられます。

何が原因で起こりますか?
Internet Explorer が初期化されていないオブジェクト、または削除されたオブジェクトにアクセスしようとした場合、メモリが破損し、攻撃者によりログオンしているユーザーのコンテキストで任意のコードが実行される可能性があります。

この脆弱性により、攻撃者は何を行う可能性がありますか?
攻撃者がこの脆弱性を悪用した場合、ログオンしたユーザーと同じ権限を取得する可能性があります。ユーザーが管理者ユーザー権限でログオンしている場合、攻撃者が影響を受けるシステムを完全に制御する可能性があります。その後、攻撃者はプログラムのインストール、データの表示、変更、削除、または完全なユーザー権限を持つ新たなアカウントを作成する可能性があります。

攻撃者はこの脆弱性をどのように悪用する可能性がありますか?
攻撃者は、Internet Explorer を介してこの脆弱性を悪用するように特別に細工した Web サイトをホストし、ユーザーを誘導してその Web サイトを表示させる可能性があります。また、攻撃者は IE のレンダリング エンジンをホストするアプリケーションまたは Microsoft Office 文書に「安全な初期化」とマークされている ActiveX コントロールを埋め込む可能性があります。また、攻撃者は侵害された Web サイトおよびユーザーが提供したコンテンツや広告を受け入れるまたはホストする Web サイトを利用する可能性があります。これらの Web サイトには、この脆弱性を悪用する可能性のある特別に細工されたコンテンツが含まれている場合があります。しかし、すべての場合において、強制的にユーザーに攻撃者が制御するコンテンツを表示させることはできません。その代わり、ユーザーに操作を行わせることが攻撃者にとっての必要条件となります。一般的には、ユーザーに電子メール メッセージまたはインスタント メッセンジャーのメッセージのリンクをクリックさせ、攻撃者の Web サイトへ誘導します。または、電子メールにより送信された添付ファイルを開かせようとします。

主にどのようなコンピューターがこの脆弱性による危険にさらされますか?
この脆弱性により、悪意のある動作が起こるには、ユーザーがログオンし、Web サイトを訪問することが攻撃者にとっての必要条件となります。このため、ワークステーションまたはターミナル サーバーなど、Internet Explorer を頻繁に使用するコンピューターが、最もこの脆弱性の危険にさらされる可能性があります。

Windows Server 2003、Windows Server 2008 または Windows Server 2008 R2 用の Internet Explorer を実行している場合、この脆弱性の影響は緩和されますか?
はい。既定で、Windows Server 2003、Windows Server 2008 および Windows Server 2008 R2 上の Internet Explorer は、「セキュリティ強化の構成」と呼ばれる制限されたモードで実行されます。セキュリティ強化の構成は、Internet Explorer で事前に設定され、ユーザーまたは管理者が特別に細工された Web コンテンツをサーバーにダウンロードし、実行する危険性を低減します。これは、Internet Explorer の信頼済みサイト ゾーンに追加していない Web サイトに対する「緩和する要素」に該当します。

この更新プログラムはどのように問題を修正しますか?
この更新プログラムは、Intenet Explorer がメモリのオブジェクトを処理する方法を変更することにより、この脆弱性を排除します。

このセキュリティ情報のリリース時に、この脆弱性は一般に公開されていましたか?
いいえ。マイクロソフトは協調的な脆弱性の公開により、この脆弱性に関する情報を受けました。

このセキュリティ情報の公開時に、マイクロソフトはこの脆弱性が悪用されたという報告を受けていましたか?
いいえ。このセキュリティ情報が最初に公開された段階で、マイクロソフトはこの脆弱性が悪用され、お客様が攻撃されたということを示す情報は受けておらず、また、公開された検証用コードのいかなる実例の存在も確認しておりません。

「問題を緩和する要素」とは、設定、一般的な構成または一般的な最善策、既定の状態により、脆弱性の悪用の深刻度が低くなる可能性がある要素を指します。次の「問題を緩和する要素」は、お客様の環境で役立つ場合があります。

• Web ベースの攻撃のシナリオでは、攻撃者がこの脆弱性の悪用を意図した Web ページが含まれている Web サイトをホストする可能性があります。さらに、侵害された Web サイトおよびユーザー提供のコンテンツまたは広告を受け入れる、またはホストする Web サイトに、特別に細工されたコンテンツが含まれ、この脆弱性を悪用する可能性があります。しかし、すべての場合において、攻撃者が強制的にユーザーをこれらの Web サイトに訪問させる方法はありません。それに代わり、攻撃者はユーザーを攻撃者の Web サイトに訪問させようとします。一般的には、ユーザーに電子メール メッセージまたはインスタント メッセンジャーのメッセージのリンクをクリックさせ、攻撃者の Web サイトへ誘導します。
• 攻撃者がこの脆弱性を悪用した場合、ログオンしたユーザーと同じユーザー権限を取得する可能性があります。システムでユーザー権限が低い設定のアカウントを持つユーザーは、管理者ユーザー権限で実行しているユーザーよりも、この脆弱性による影響が少ないと考えられます。
• 既定で、すべてのサポートされているバージョンの Microsoft Outlook、Microsoft Outlook Express および Windows メールは、HTML 形式の電子メール メッセージを制限付きサイト ゾーンで開きます。制限付きサイト ゾーンはスクリプトおよび ActiveX コントロールを無効にし、この脆弱性を悪用し、悪意のあるコードを実行しようとする攻撃のリスクを排除するのに役立ちます。しかし、ユーザーが電子メール メッセージのリンクをクリックすると、Web ベースの攻撃シナリオで悪用した脆弱性の影響を受ける可能性があります。
• 既定で、Windows Server 2003、Windows Server 2008 および Windows Server 2008 R2 上の Internet Explorer は、「セキュリティ強化の構成」と呼ばれる制限されたモードで実行されます。このモードは、この脆弱性の影響を緩和します。Internet Explorer のセキュリティ強化の構成に関する詳細情報については、この脆弱性に関する「よく寄せられる質問」をご覧ください。
• Internet Explorer 6、Internet Explorer 7 および Internet Explorer 9 は、この脆弱性の影響を受けません。

回避策は、設定または構成の変更を示しており、基本的な脆弱性を正すものではありませんが、更新プログラムを適用する前に既知の攻撃方法を阻止するのに役立ちます。マイクロソフトは、以下の回避策を検証し、この回避策が機能性を低下させるかどうかについて、説明の部分で述べています。

• インターネットおよびローカル イントラネット セキュリティ ゾーンの設定を「高」に設定し、これらのゾーンで ActiveX コントロールおよびアクティブ スクリプトをブロックする

  インターネット セキュリティ ゾーンの設定を変更し、ActiveX コントロールおよびアクティブ スクリプトをブロックすることは、この脆弱性の悪用を防ぐのに役立ちます。これには、ブラウザーのセキュリティ設定を「高」に設定して実行します。

  Internet Explorer のブラウザーのセキュリティ レベルを上げるには、以下のステップを実行してください。

  1. Internet Explorer の [ツール] メニューの [インターネット オプション] をクリックします。
  2. [インターネット オプション] ダイアログ ボックスで、[セキュリティ] タブをクリックし、次に [インターネット] アイコンをクリックします。
  3. [このゾーンのセキュリティのレベル] の下のスライダーのつまみを「高」まで移動させます。これにより、訪問するすべての Web サイトのセキュリティ レベルが「高」に設定されます。

  注: スライダーが表示されていない場合、[既定のレベル] ボタンをクリックし、次にスライダーを「高」に移動させます。

  注: セキュリティ レベルを「高」に設定すると、Web サイトが正しく動作しない場合があります。この設定の変更後、Web サイトの使用が困難になり、そのサイトが安全だと確信できる場合は、そのサイトを [信頼済みサイト] に追加できます。これにより、セキュリティが「高」に設定されていても、そのサイトが適切に実行されます。

  回避策の影響: ActiveX コントロールおよびアクティブ スクリプトをブロックすると、別の影響があります。インターネットまたはイントラネット上の多くの Web サイトはActiveX またはアクティブ スクリプトを使用して、追加の機能を提供します。たとえば、オンラインの電子商取引またはオンライン バンキング サイトには ActiveX コントロールを使用して、メニュー、注文書、計算書などを提供しているものもあります。ActiveX コントロールまたはアクティブ スクリプトのブロックはグローバル設定であり、すべてのインターネットおよびイントラネット サイトに影響を及ぼします。ActiveX コントロールおよびアクティブ スクリプトをこれらの Web サイトでブロックしたくない場合、「信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する」で説明されているステップを行ってください。

  信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する

  インターネット ゾーンおよびローカル イントラネット ゾーンで ActiveX コントロールおよびアクティブ スクリプトをブロックするように設定後、信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加できます。これにより、信頼されていない Web サイトからの攻撃を防ぎながら、現在とまったく同じ様に、信頼する Web サイトを引き続き使用できます。マイクロソフトは信頼できる Web サイトのみを [信頼済み] サイト ゾーンに追加することを推奨します。

  これを行うためには、次のステップを実行します。

  1. Internet Explorer で [ツール] をクリックし、[インターネット オプション] をクリックします。次に [セキュリティ] タブをクリックします。
  2. [Web コンテンツのゾーンを選択してセキュリティのレベルを設定する] で、[信頼済みサイト] をクリックし、次に [サイト] をクリックします。
  3. 暗号化されたチャネルを必要としない Web サイトを追加したい場合、[このゾーンのサイトにはすべてサーバーの確認 (https:) を必要とする] のチェック ボックスをクリックし、チェックを外します。
  4. [次の Web サイトをゾーンに追加する] で、信頼する Web サイトの URL を入力し、次に [追加] ボタンをクリックします。
  5. ゾーンに追加したい各 Web サイトについて、これらのステップを繰り返します。
  6. [OK] を 2 回クリックし、変更を許可し、Internet Explorer に戻ります。

  注: システムで悪質な動作が行われないと信頼できるすべてのサイトを追加します。特に追加すべき 2 つの Web サイトは *.windowsupdate.microsoft.com および *.update.microsoft.com です。これらはセキュリティ更新プログラムをホストする Web サイトで、セキュリティ更新プログラムのインストールには ActiveX コントロールが必要です。

• インターネットおよびイントラネット ゾーンで、アクティブ スクリプトの実行前にダイアログを表示するように Internet Explorer を構成する、または アクティブ スクリプトを無効にするよう構成する

  インターネットおよびローカルのイントラネット セキュリティ ゾーンでアクティブ スクリプトが実行される前にダイアログが表示されるように設定を変更、またはアクティブ スクリプトを無効にするよう設定を変更することにより、この脆弱性の悪用を防ぐ手助けを行うことができます。これを行うためには、次のステップを実行します。

  1. Internet Explorer で、[ツール] メニューから [インターネット オプション] をクリックします。
  2. [セキュリティ] タブをクリックします。
  3. [インターネット] のアイコンをクリックし、次に [レベルのカスタマイズ] ボタンをクリックします。
  4. [設定] の [スクリプト] セクションの [アクティブ スクリプト] で [ダイアログを表示する] または [無効にする] をクリックします。次に [OK] をクリックします。
  5. [イントラネット] をクリックし、[レベルのカスタマイズ] をクリックします。
  6. [設定] の [スクリプト] セクションの [アクティブ スクリプト] で [ダイアログを表示する] または [無効にする] をクリックします。次に [OK] をクリックします。
  7. [OK] を 2 回クリックし、Internet Explorer に戻ります。

  注: インターネットおよびイントラネットのセキュリティ ゾーンでアクティブ スクリプトを無効にすると、Web サイトが正しく動作しなくなる場合があります。この設定の変更後、Web サイトの使用が困難になり、そのサイトが安全だと確信できる場合は、そのサイトを [信頼済みサイト] に追加できます。これにより、その Web サイトは正しく動作するようになります。

  回避策の影響: アクティブ スクリプトの実行前にダイアログを表示すると、別の影響があります。インターネットまたはイントラネット上の多くの Web サイトはアクティブ スクリプトを使用して、追加の機能を提供しています。たとえば、オンラインの電子商取引またはオンライン バンキング サイトにはアクティブ スクリプトを使用して、メニュー、注文書、計算書などを提供しているものもあります。アクティブ スクリプトの実行前にダイアログを表示する設定はグローバル設定であり、すべてのインターネットおよびイントラネット サイトに影響を及ぼします。この回避策を行うと、ダイアログが頻繁に表示されます。訪問している Web サイトが信頼できる場合、各ダイアログ表示で [はい] をクリックしてアクティブ スクリプトを実行してください。これらのすべての Web サイトでダイアログ表示が必要ない場合、「信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する」で説明されているステップを行ってください。

  信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する

  インターネット ゾーンおよびローカル イントラネット ゾーンで ActiveX コントロールおよびアクティブ スクリプトの実行前にダイアログを表示するように設定した後、信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加できます。これにより、信頼されていない Web サイトからの攻撃を防ぎながら、現在とまったく同じ様に、信頼する Web サイトを引き続き使用できます。マイクロソフトは信頼できる Web サイトのみを [信頼済み] サイト ゾーンに追加することを推奨します。

  これを行うためには、次のステップを実行します。

  1. Internet Explorer で [ツール] をクリックし、[インターネット オプション] をクリックします。次に [セキュリティ] タブをクリックします。
  2. [Web コンテンツのゾーンを選択してセキュリティのレベルを設定する] で、[信頼済みサイト] をクリックし、次に [サイト] をクリックします。
  3. 暗号化されたチャネルを必要としない Web サイトを追加したい場合、[このゾーンのサイトにはすべてサーバーの確認 (https:) を必要とする] のチェック ボックスをクリックし、チェックを外します。
  4. [次の Web サイトをゾーンに追加する] で、信頼する Web サイトの URL を入力し、次に [追加] ボタンをクリックします。
  5. ゾーンに追加したい各 Web サイトについて、これらのステップを繰り返します。
  6. [OK] を 2 回クリックし、変更を許可し、Internet Explorer に戻ります。

  注: システムで悪質な動作が行われないと信頼できるすべてのサイトを追加します。特に追加すべき 2 つの Web サイトは *.windowsupdate.microsoft.com および *.update.microsoft.com です。これらはセキュリティ更新プログラムをホストする Web サイトで、セキュリティ更新プログラムのインストールには ActiveX コントロールが必要です。

どのようなことが起こる可能性がありますか?
これはリモートでコードが実行される脆弱性です。攻撃者がこの脆弱性を悪用した場合、ログオンしたユーザーと同じユーザー権限を取得する可能性があります。システムでユーザー権限が低い設定のアカウントを持つユーザーは、管理者ユーザー権限で実行しているユーザーよりも、この脆弱性による影響が少ないと考えられます。

何が原因で起こりますか?
Internet Explorer が初期化されていないオブジェクト、または削除されたオブジェクトにアクセスしようとした場合、メモリが破損し、攻撃者によりログオンしているユーザーのコンテキストで任意のコードが実行される可能性があります。

この脆弱性により、攻撃者は何を行う可能性がありますか?
攻撃者がこの脆弱性を悪用した場合、ログオンしたユーザーと同じ権限を取得する可能性があります。ユーザーが管理者ユーザー権限でログオンしている場合、攻撃者が影響を受けるシステムを完全に制御する可能性があります。その後、攻撃者はプログラムのインストール、データの表示、変更、削除、または完全なユーザー権限を持つ新たなアカウントを作成する可能性があります。

攻撃者はこの脆弱性をどのように悪用する可能性がありますか?
攻撃者は、Internet Explorer を介してこの脆弱性を悪用するように特別に細工した Web サイトをホストし、ユーザーを誘導してその Web サイトを表示させる可能性があります。また、攻撃者は IE のレンダリング エンジンをホストするアプリケーションまたは Microsoft Office 文書に「安全な初期化」とマークされている ActiveX コントロールを埋め込む可能性があります。また、攻撃者は侵害された Web サイトおよびユーザーが提供したコンテンツや広告を受け入れるまたはホストする Web サイトを利用する可能性があります。これらの Web サイトには、この脆弱性を悪用する可能性のある特別に細工されたコンテンツが含まれている場合があります。しかし、すべての場合において、強制的にユーザーに攻撃者が制御するコンテンツを表示させることはできません。その代わり、ユーザーに操作を行わせることが攻撃者にとっての必要条件となります。一般的には、ユーザーに電子メール メッセージまたはインスタント メッセンジャーのメッセージのリンクをクリックさせ、攻撃者の Web サイトへ誘導します。または、電子メールにより送信された添付ファイルを開かせようとします。

主にどのようなコンピューターがこの脆弱性による危険にさらされますか?
この脆弱性により、悪意のある動作が起こるには、ユーザーがログオンし、Web サイトを訪問することが攻撃者にとっての必要条件となります。このため、ワークステーションまたはターミナル サーバーなど、Internet Explorer を頻繁に使用するコンピューターが、最もこの脆弱性の危険にさらされる可能性があります。

Windows Server 2003、Windows Server 2008 または Windows Server 2008 R2 用の Internet Explorer を実行している場合、この脆弱性の影響は緩和されますか?
はい。既定で、Windows Server 2003、Windows Server 2008 および Windows Server 2008 R2 上の Internet Explorer は、「セキュリティ強化の構成」と呼ばれる制限されたモードで実行されます。セキュリティ強化の構成は、Internet Explorer で事前に設定され、ユーザーまたは管理者が特別に細工された Web コンテンツをサーバーにダウンロードし、実行する危険性を低減します。これは、Internet Explorer の信頼済みサイト ゾーンに追加していない Web サイトに対する「緩和する要素」に該当します。

この更新プログラムはどのように問題を修正しますか?
この更新プログラムは、Intenet Explorer がメモリのオブジェクトを処理する方法を変更することにより、この脆弱性を排除します。

このセキュリティ情報のリリース時に、この脆弱性は一般に公開されていましたか?
いいえ。マイクロソフトは協調的な脆弱性の公開により、この脆弱性に関する情報を受けました。

このセキュリティ情報の公開時に、マイクロソフトはこの脆弱性が悪用されたという報告を受けていましたか?
いいえ。マイクロソフトは、このセキュリティ情報が最初に公開された際に、この脆弱性が一般で悪用され、お客様が攻撃されていたことを示す情報を受けていませんでした。

「問題を緩和する要素」とは、設定、一般的な構成または一般的な最善策、既定の状態により、脆弱性の悪用の深刻度が低くなる可能性がある要素を指します。次の「問題を緩和する要素」は、お客様の環境で役立つ場合があります。

• Web ベースの攻撃のシナリオでは、攻撃者がこの脆弱性の悪用を意図した Web ページが含まれている Web サイトをホストする可能性があります。さらに、侵害された Web サイトおよびユーザー提供のコンテンツまたは広告を受け入れる、またはホストする Web サイトに、特別に細工されたコンテンツが含まれ、この脆弱性を悪用する可能性があります。しかし、すべての場合において、攻撃者が強制的にユーザーをこれらの Web サイトに訪問させる方法はありません。それに代わり、攻撃者はユーザーを攻撃者の Web サイトに訪問させようとします。一般的には、ユーザーに電子メール メッセージまたはインスタント メgaッセンジャーのメッセージのリンクをクリックさせ、攻撃者の Web サイトへ誘導します。
• toStaticHTML API を使用している Web サイトのみがこの脆弱性の影響を受ける可能性があります。
• 既定で、すべてのサポートされているバージョンの Microsoft Outlook、Microsoft Outlook Express および Windows メールは、HTML 形式の電子メール メッセージを制限付きサイト ゾーンで開きます。制限付きサイト ゾーンはスクリプトおよび ActiveX コントロールを無効にし、この脆弱性を悪用し、悪意のあるコードを実行しようとする攻撃のリスクを排除するのに役立ちます。しかし、ユーザーが電子メール メッセージのリンクをクリックすると、Web ベースの攻撃シナリオで悪用した脆弱性の影響を受ける可能性があります。
• 既定で、Windows Server 2003、Windows Server 2008 および Windows Server 2008 R2 上の Internet Explorer は、「セキュリティ強化の構成」と呼ばれる制限されたモードで実行されます。このモードは、この脆弱性の影響を緩和します。Internet Explorer のセキュリティ強化の構成に関する詳細情報については、この脆弱性に関する「よく寄せられる質問」をご覧ください。
• Internet Explorer 6 および Internet Explorer 9 は、この脆弱性による影響を受けません。

回避策は、設定または構成の変更を示しており、基本的な脆弱性を正すものではありませんが、更新プログラムを適用する前に既知の攻撃方法を阻止するのに役立ちます。マイクロソフトは、以下の回避策を検証し、この回避策が機能性を低下させるかどうかについて、説明の部分で述べています。

• 電子メールをテキスト形式で読みとる

  電子メールによる攻撃から自分自身を保護するためには、電子メールをテキスト形式で読み取ってください。

  Office XP Service Pack 1 またはそれ以降のバージョンを適用している Microsoft Outlook 2002 ユーザーおよび Internet Explorer 6 Service Pack 1 またはそれ以降のバージョンを適用している Microsoft Outlook Express 6 ユーザーは、この設定を有効にし、デジタル署名されていない電子メール メッセージまたは暗号化されていない電子メール メッセージを、テキスト形式のみで表示するよう設定できます。

  デジタル署名または暗号化されている電子メール メッセージは、設定による影響は受けず、元の形式で読み取ることができる場合があります。Outlook 2002 のこの設定を有効にする方法に関する情報は、サポート技術情報 307594 で説明されています。

  Outlook Express 6 のこの設定に関する情報は、サポート技術情報 291387 で説明されています。

  回避策の影響: テキスト形式で表示される電子メール メッセージは、写真、特別なフォント、アニメーションまたはそのほかのリッチ形式のコンテンツを含むことはできません。さらに、次の影響があります。

  • 変更はプレビュー ウィンドウおよび開いているメッセージに適用されます。
  • 画像は、失われないように添付ファイルとなります。
  • メッセージは保存場所では依然としてリッチ テキスト形式、または HTML 形式であるため、オブジェクト モデル (カスタムコード ソリューション) が予期しない動作をする場合があります。
• インターネットおよびローカル イントラネット セキュリティ ゾーンの設定を「高」に設定し、これらのゾーンで ActiveX コントロールおよびアクティブ スクリプトをブロックする

  インターネット セキュリティ ゾーンの設定を変更し、ActiveX コントロールおよびアクティブ スクリプトをブロックすることは、この脆弱性の悪用を防ぐのに役立ちます。これには、ブラウザーのセキュリティ設定を「高」に設定して実行します。

  Internet Explorer のブラウザーのセキュリティ レベルを上げるには、以下のステップを実行してください。

  1. Internet Explorer の [ツール] メニューの [インターネット オプション] をクリックします。
  2. [インターネット オプション] ダイアログ ボックスで、[セキュリティ] タブをクリックし、次に [インターネット] アイコンをクリックします。
  3. [このゾーンのセキュリティのレベル] の下のスライダーのつまみを「高」まで移動させます。これにより、訪問するすべての Web サイトのセキュリティ レベルが「高」に設定されます。

  注: スライダーが表示されていない場合、[既定のレベル] ボタンをクリックし、次にスライダーを「高」に移動させます。

  注: セキュリティ レベルを「高」に設定すると、Web サイトが正しく動作しない場合があります。この設定の変更後、Web サイトの使用が困難になり、そのサイトが安全だと確信できる場合は、そのサイトを [信頼済みサイト] に追加できます。これにより、セキュリティが「高」に設定されていても、そのサイトが適切に実行されます。

  回避策の影響: ActiveX コントロールおよびアクティブ スクリプトをブロックすると、別の影響があります。インターネットまたはイントラネット上の多くの Web サイトはActiveX またはアクティブ スクリプトを使用して、追加の機能を提供します。たとえば、オンラインの電子商取引またはオンライン バンキング サイトには ActiveX コントロールを使用して、メニュー、注文書、計算書などを提供しているものもあります。ActiveX コントロールまたはアクティブ スクリプトのブロックはグローバル設定であり、すべてのインターネットおよびイントラネット サイトに影響を及ぼします。ActiveX コントロールおよびアクティブ スクリプトをこれらの Web サイトでブロックしたくない場合、「信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する」で説明されているステップを行ってください。

  信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する

  インターネット ゾーンおよびローカル イントラネット ゾーンで ActiveX コントロールおよびアクティブ スクリプトをブロックするように設定後、信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加できます。これにより、信頼されていない Web サイトからの攻撃を防ぎながら、現在とまったく同じ様に、信頼する Web サイトを引き続き使用できます。マイクロソフトは信頼できる Web サイトのみを [信頼済み] サイト ゾーンに追加することを推奨します。

  これを行うためには、次のステップを実行します。

  1. Internet Explorer で [ツール] をクリックし、[インターネット オプション] をクリックします。次に [セキュリティ] タブをクリックします。
  2. [Web コンテンツのゾーンを選択してセキュリティのレベルを設定する] で、[信頼済みサイト] をクリックし、次に [サイト] をクリックします。
  3. 暗号化されたチャネルを必要としない Web サイトを追加したい場合、[このゾーンのサイトにはすべてサーバーの確認 (https:) を必要とする] のチェック ボックスをクリックし、チェックを外します。
  4. [次の Web サイトをゾーンに追加する] で、信頼する Web サイトの URL を入力し、次に [追加] ボタンをクリックします。
  5. ゾーンに追加したい各 Web サイトについて、これらのステップを繰り返します。
  6. [OK] を 2 回クリックし、変更を許可し、Internet Explorer に戻ります。

  注: システムで悪質な動作が行われないと信頼できるすべてのサイトを追加します。特に追加すべき 2 つの Web サイトは *.windowsupdate.microsoft.com および *.update.microsoft.com です。これらはセキュリティ更新プログラムをホストする Web サイトで、セキュリティ更新プログラムのインストールには ActiveX コントロールが必要です。

• インターネットおよびイントラネット ゾーンで、アクティブ スクリプトの実行前にダイアログを表示するように Internet Explorer を構成する、または アクティブ スクリプトを無効にするよう構成する

  インターネットおよびローカルのイントラネット セキュリティ ゾーンでアクティブ スクリプトが実行される前にダイアログが表示されるように設定を変更、またはアクティブ スクリプトを無効にするよう設定を変更することにより、この脆弱性の悪用を防ぐ手助けを行うことができます。これを行うためには、次のステップを実行します。

  1. Internet Explorer で、[ツール] メニューから [インターネット オプション] をクリックします。
  2. [セキュリティ] タブをクリックします。
  3. [インターネット] のアイコンをクリックし、次に [レベルのカスタマイズ] ボタンをクリックします。
  4. [設定] の [スクリプト] セクションの [アクティブ スクリプト] で [ダイアログを表示する] または [無効にする] をクリックします。次に [OK] をクリックします。
  5. [イントラネット] をクリックし、[レベルのカスタマイズ] をクリックします。
  6. [設定] の [スクリプト] セクションの [アクティブ スクリプト] で [ダイアログを表示する] または [無効にする] をクリックします。次に [OK] をクリックします。
  7. [OK] を 2 回クリックし、Internet Explorer に戻ります。

  注: インターネットおよびイントラネットのセキュリティ ゾーンでアクティブ スクリプトを無効にすると、Web サイトが正しく動作しなくなる場合があります。この設定の変更後、Web サイトの使用が困難になり、そのサイトが安全だと確信できる場合は、そのサイトを [信頼済みサイト] に追加できます。これにより、その Web サイトは正しく動作するようになります。

  回避策の影響: アクティブ スクリプトの実行前にダイアログを表示すると、別の影響があります。インターネットまたはイントラネット上の多くの Web サイトはアクティブ スクリプトを使用して、追加の機能を提供しています。たとえば、オンラインの電子商取引またはオンライン バンキング サイトにはアクティブ スクリプトを使用して、メニュー、注文書、計算書などを提供しているものもあります。アクティブ スクリプトの実行前にダイアログを表示する設定はグローバル設定であり、すべてのインターネットおよびイントラネット サイトに影響を及ぼします。この回避策を行うと、ダイアログが頻繁に表示されます。訪問している Web サイトが信頼できる場合、各ダイアログ表示で [はい] をクリックしてアクティブ スクリプトを実行してください。これらのすべての Web サイトでダイアログ表示が必要ない場合、「信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する」で説明されているステップを行ってください。

  信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する

  インターネット ゾーンおよびローカル イントラネット ゾーンで ActiveX コントロールおよびアクティブ スクリプトの実行前にダイアログを表示するように設定した後、信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加できます。これにより、信頼されていない Web サイトからの攻撃を防ぎながら、現在とまったく同じ様に、信頼する Web サイトを引き続き使用できます。マイクロソフトは信頼できる Web サイトのみを [信頼済み] サイト ゾーンに追加することを推奨します。

  これを行うためには、次のステップを実行します。

  1. Internet Explorer で [ツール] をクリックし、[インターネット オプション] をクリックします。次に [セキュリティ] タブをクリックします。
  2. [Web コンテンツのゾーンを選択してセキュリティのレベルを設定する] で、[信頼済みサイト] をクリックし、次に [サイト] をクリックします。
  3. 暗号化されたチャネルを必要としない Web サイトを追加したい場合、[このゾーンのサイトにはすべてサーバーの確認 (https:) を必要とする] のチェック ボックスをクリックし、チェックを外します。
  4. [次の Web サイトをゾーンに追加する] で、信頼する Web サイトの URL を入力し、次に [追加] ボタンをクリックします。
  5. ゾーンに追加したい各 Web サイトについて、これらのステップを繰り返します。
  6. [OK] を 2 回クリックし、変更を許可し、Internet Explorer に戻ります。

  注: システムで悪質な動作が行われないと信頼できるすべてのサイトを追加します。特に追加すべき 2 つの Web サイトは *.windowsupdate.microsoft.com および *.update.microsoft.com です。これらはセキュリティ更新プログラムをホストする Web サイトで、セキュリティ更新プログラムのインストールには ActiveX コントロールが必要です。

どのようなことが起こる可能性がありますか?
これは情報漏えいの脆弱性です。攻撃者がこの脆弱性を悪用した場合、ユーザーが toStaticHTML API を使用する Web ページを閲覧した場合に、そのサイトに対するユーザーのセキュリティ コンテキストでスクリプトを実行する可能性があります。

何が原因で起こりますか?
Internet Explorer に含まれる toStaticHTML API が HTML をサニタイズする時に、特定の文字列を使用するコンテンツを処理する方法にこの脆弱性が存在します。

toStaticHTML API とは何ですか?
toStaticHTML API を使用して、ユーザーの入力が HTML として表示される前に、その入力からイベントの属性やスクリプトを削除することができます。詳細情報は、MSDN ライブラリ toStaticHTML Method (英語情報) をご覧ください。

この脆弱性により、攻撃者は何を行う可能性がありますか?
攻撃者がこの脆弱性を悪用した場合、ユーザーが Web サイトで HTML を閲覧している際に、Web サイトに対するユーザーのセキュリティ コンテキストでスクリプトを実行し、toStaticHTML API を介するユーザー データのサニタイジングを回避する可能性があります。

攻撃者はこの脆弱性をどのように悪用する可能性がありますか?
攻撃者は、Internet Explorer を介してこの脆弱性を悪用するように特別に細工した Web サイトをホストし、ユーザーを誘導してその Web サイトを表示させる可能性があります。また、攻撃者は侵害された Web サイトおよびユーザーが提供したコンテンツや広告を受け入れるまたはホストする Web サイトを利用する可能性があります。これらの Web サイトには、この脆弱性を悪用する可能性のある特別に細工されたコンテンツが含まれている場合があります。しかし、すべての場合において、強制的にユーザーに攻撃者が制御するコンテンツを表示させることはできません。その代わり、ユーザーに操作を行わせることが攻撃者にとっての必要条件となります。一般的には、ユーザーに電子メール メッセージまたはインスタント メッセンジャーのメッセージのリンクをクリックさせ、攻撃者の Web サイトへ誘導します。または、電子メールにより送信された添付ファイルを開かせようとします。

主にどのようなコンピューターがこの脆弱性による危険にさらされますか?
この脆弱性により、悪意のある動作が起こるには、ユーザーがログオンし、ユーザーのデータをサニタイジングする toStaticHTML API が使用されている Web サイトを訪問することが攻撃者にとっての必要条件となります。このため、ワークステーションまたはターミナル サーバーなど、Internet Explorer を頻繁に使用するコンピューターが、最もこの脆弱性の危険にさらされる可能性があります。

Windows Server 2003、Windows Server 2008 または Windows Server 2008 R2 用の Internet Explorer を実行している場合、この脆弱性の影響は緩和されますか?
はい。既定で、Windows Server 2003、Windows Server 2008 および Windows Server 2008 R2 上の Internet Explorer は、「セキュリティ強化の構成」と呼ばれる制限されたモードで実行されます。セキュリティ強化の構成は、Internet Explorer で事前に設定され、ユーザーまたは管理者が特別に細工された Web コンテンツをサーバーにダウンロードし、実行する危険性を低減します。これは、Internet Explorer の信頼済みサイト ゾーンに追加していない Web サイトに対する「緩和する要素」に該当します。

この更新プログラムはどのように問題を修正しますか?
この更新プログラムは、Intenet Explorer が toStaticHTML を使用して HTML サニタイズの処理方法を変更して、この脆弱性を排除します。

このセキュリティ情報のリリース時に、この脆弱性は一般に公開されていましたか?
いいえ。マイクロソフトは協調的な脆弱性の公開により、この脆弱性に関する情報を受けました。

このセキュリティ情報の公開時に、マイクロソフトはこの脆弱性が悪用されたという報告を受けていましたか?
いいえ。マイクロソフトは、このセキュリティ情報が最初に公開された際に、この脆弱性が一般で悪用され、お客様が攻撃されていたことを示す情報を受けていませんでした。

「問題を緩和する要素」とは、設定、一般的な構成または一般的な最善策、既定の状態により、脆弱性の悪用の深刻度が低くなる可能性がある要素を指します。次の「問題を緩和する要素」は、お客様の環境で役立つ場合があります。

• Web ベースの攻撃シナリオでは、攻撃者は Internet Explorer を介してこの脆弱性を悪用するために特別に細工した Web サイトをホストし、ユーザーにその Web サイトを閲覧し、そのコンテンツをドラッグ アンド ドロップするように誘導する可能性があります。また、攻撃者は IE のレンダリング エンジンをホストするアプリケーションまたは Microsoft Office 文書に「安全な初期化」とマークされている ActiveX コントロールを埋め込む可能性があります。また、攻撃者は侵害された Web サイトおよびユーザーが提供したコンテンツや広告を受け入れるまたはホストする Web サイトを利用する可能性があります。これらの Web サイトには、この脆弱性を悪用する可能性のある特別に細工されたコンテンツが含まれている場合があります。しかし、すべての場合において、強制的にユーザーに攻撃者が制御するコンテンツを表示させることはできません。その代わり、ユーザーに操作を行わせることが攻撃者にとっての必要条件となります。一般的には、ユーザーに電子メール メッセージまたはインスタント メッセンジャーのメッセージのリンクをクリックさせ、攻撃者の Web サイトへ誘導します。または、電子メールにより送信された添付ファイルを開かせようとします。さらに、攻撃者はユーザーを誘導して、ドラッグ アンド ドロップ操作を実行させようとします。
• 攻撃者がこの脆弱性を悪用した場合、ログオンしたユーザーと同じユーザー権限を取得する可能性があります。システムでユーザー権限が低い設定のアカウントを持つユーザーは、管理者ユーザー権限で実行しているユーザーよりも、この脆弱性による影響が少ないと考えられます。
• 既定で、すべてのサポートされているバージョンの Microsoft Outlook、Microsoft Outlook Express および Windows メールは、HTML 形式の電子メール メッセージを制限付きサイト ゾーンで開きます。制限付きサイト ゾーンはスクリプトおよび ActiveX コントロールを無効にし、この脆弱性を悪用し、悪意のあるコードを実行しようとする攻撃のリスクを排除するのに役立ちます。しかし、ユーザーが電子メール メッセージのリンクをクリックすると、Web ベースの攻撃シナリオで悪用した脆弱性の影響を受ける可能性があります。
• 既定で、Windows Server 2003、Windows Server 2008 および Windows Server 2008 R2 上の Internet Explorer は、「セキュリティ強化の構成」と呼ばれる制限されたモードで実行されます。このモードは、この脆弱性の影響を緩和します。Internet Explorer のセキュリティ強化の構成に関する詳細情報については、この脆弱性に関する「よく寄せられる質問」をご覧ください。
• Internet Explorer 9 は、この脆弱性による影響を受けません。

回避策は、設定または構成の変更を示しており、基本的な脆弱性を正すものではありませんが、更新プログラムを適用する前に既知の攻撃方法を阻止するのに役立ちます。マイクロソフトは、以下の回避策を検証し、この回避策が機能性を低下させるかどうかについて、説明の部分で述べています。

• インターネットおよびローカル イントラネット セキュリティ ゾーンの設定を「高」に設定し、これらのゾーンで ActiveX コントロールおよびアクティブ スクリプトをブロックする

  インターネット セキュリティ ゾーンの設定を変更し、ActiveX コントロールおよびアクティブ スクリプトをブロックすることは、この脆弱性の悪用を防ぐのに役立ちます。これには、ブラウザーのセキュリティ設定を「高」に設定して実行します。

  Internet Explorer のブラウザーのセキュリティ レベルを上げるには、以下のステップを実行してください。

  1. Internet Explorer の [ツール] メニューの [インターネット オプション] をクリックします。
  2. [インターネット オプション] ダイアログ ボックスで、[セキュリティ] タブをクリックし、次に [インターネット] アイコンをクリックします。
  3. [このゾーンのセキュリティのレベル] の下のスライダーのつまみを「高」まで移動させます。これにより、訪問するすべての Web サイトのセキュリティ レベルが「高」に設定されます。

  注: スライダーが表示されていない場合、[既定のレベル] ボタンをクリックし、次にスライダーを「高」に移動させます。

  注: セキュリティ レベルを「高」に設定すると、Web サイトが正しく動作しない場合があります。この設定の変更後、Web サイトの使用が困難になり、そのサイトが安全だと確信できる場合は、そのサイトを [信頼済みサイト] に追加できます。これにより、セキュリティが「高」に設定されていても、そのサイトが適切に実行されます。

  回避策の影響: ActiveX コントロールおよびアクティブ スクリプトをブロックすると、別の影響があります。インターネットまたはイントラネット上の多くの Web サイトはActiveX またはアクティブ スクリプトを使用して、追加の機能を提供します。たとえば、オンラインの電子商取引またはオンライン バンキング サイトには ActiveX コントロールを使用して、メニュー、注文書、計算書などを提供しているものもあります。ActiveX コントロールまたはアクティブ スクリプトのブロックはグローバル設定であり、すべてのインターネットおよびイントラネット サイトに影響を及ぼします。ActiveX コントロールおよびアクティブ スクリプトをこれらの Web サイトでブロックしたくない場合、「信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する」で説明されているステップを行ってください。

  信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する

  インターネット ゾーンおよびローカル イントラネット ゾーンで ActiveX コントロールおよびアクティブ スクリプトをブロックするように設定後、信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加できます。これにより、信頼されていない Web サイトからの攻撃を防ぎながら、現在とまったく同じ様に、信頼する Web サイトを引き続き使用できます。マイクロソフトは信頼できる Web サイトのみを [信頼済み] サイト ゾーンに追加することを推奨します。

  これを行うためには、次のステップを実行します。

  1. Internet Explorer で [ツール] をクリックし、[インターネット オプション] をクリックします。次に [セキュリティ] タブをクリックします。
  2. [Web コンテンツのゾーンを選択してセキュリティのレベルを設定する] で、[信頼済みサイト] をクリックし、次に [サイト] をクリックします。
  3. 暗号化されたチャネルを必要としない Web サイトを追加したい場合、[このゾーンのサイトにはすべてサーバーの確認 (https:) を必要とする] のチェック ボックスをクリックし、チェックを外します。
  4. [次の Web サイトをゾーンに追加する] で、信頼する Web サイトの URL を入力し、次に [追加] ボタンをクリックします。
  5. ゾーンに追加したい各 Web サイトについて、これらのステップを繰り返します。
  6. [OK] を 2 回クリックし、変更を許可し、Internet Explorer に戻ります。

  注: システムで悪質な動作が行われないと信頼できるすべてのサイトを追加します。特に追加すべき 2 つの Web サイトは *.windowsupdate.microsoft.com および *.update.microsoft.com です。これらはセキュリティ更新プログラムをホストする Web サイトで、セキュリティ更新プログラムのインストールには ActiveX コントロールが必要です。

• インターネットおよびイントラネット ゾーンで、アクティブ スクリプトの実行前にダイアログを表示するように Internet Explorer を構成する、または アクティブ スクリプトを無効にするよう構成する

  インターネットおよびローカルのイントラネット セキュリティ ゾーンでアクティブ スクリプトが実行される前にダイアログが表示されるように設定を変更、またはアクティブ スクリプトを無効にするよう設定を変更することにより、この脆弱性の悪用を防ぐ手助けを行うことができます。これを行うためには、次のステップを実行します。

  1. Internet Explorer で、[ツール] メニューから [インターネット オプション] をクリックします。
  2. [セキュリティ] タブをクリックします。
  3. [インターネット] のアイコンをクリックし、次に [レベルのカスタマイズ] ボタンをクリックします。
  4. [設定] の [スクリプト] セクションの [アクティブ スクリプト] で [ダイアログを表示する] または [無効にする] をクリックします。次に [OK] をクリックします。
  5. [イントラネット] をクリックし、[レベルのカスタマイズ] をクリックします。
  6. [設定] の [スクリプト] セクションの [アクティブ スクリプト] で [ダイアログを表示する] または [無効にする] をクリックします。次に [OK] をクリックします。
  7. [OK] を 2 回クリックし、Internet Explorer に戻ります。

  注: インターネットおよびイントラネットのセキュリティ ゾーンでアクティブ スクリプトを無効にすると、Web サイトが正しく動作しなくなる場合があります。この設定の変更後、Web サイトの使用が困難になり、そのサイトが安全だと確信できる場合は、そのサイトを [信頼済みサイト] に追加できます。これにより、その Web サイトは正しく動作するようになります。

  回避策の影響: アクティブ スクリプトの実行前にダイアログを表示すると、別の影響があります。インターネットまたはイントラネット上の多くの Web サイトはアクティブ スクリプトを使用して、追加の機能を提供しています。たとえば、オンラインの電子商取引またはオンライン バンキング サイトにはアクティブ スクリプトを使用して、メニュー、注文書、計算書などを提供しているものもあります。アクティブ スクリプトの実行前にダイアログを表示する設定はグローバル設定であり、すべてのインターネットおよびイントラネット サイトに影響を及ぼします。この回避策を行うと、ダイアログが頻繁に表示されます。訪問している Web サイトが信頼できる場合、各ダイアログ表示で [はい] をクリックしてアクティブ スクリプトを実行してください。これらのすべての Web サイトでダイアログ表示が必要ない場合、「信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する」で説明されているステップを行ってください。

  信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する

  インターネット ゾーンおよびローカル イントラネット ゾーンで ActiveX コントロールおよびアクティブ スクリプトの実行前にダイアログを表示するように設定した後、信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加できます。これにより、信頼されていない Web サイトからの攻撃を防ぎながら、現在とまったく同じ様に、信頼する Web サイトを引き続き使用できます。マイクロソフトは信頼できる Web サイトのみを [信頼済み] サイト ゾーンに追加することを推奨します。

  これを行うためには、次のステップを実行します。

  1. Internet Explorer で [ツール] をクリックし、[インターネット オプション] をクリックします。次に [セキュリティ] タブをクリックします。
  2. [Web コンテンツのゾーンを選択してセキュリティのレベルを設定する] で、[信頼済みサイト] をクリックし、次に [サイト] をクリックします。
  3. 暗号化されたチャネルを必要としない Web サイトを追加したい場合、[このゾーンのサイトにはすべてサーバーの確認 (https:) を必要とする] のチェック ボックスをクリックし、チェックを外します。
  4. [次の Web サイトをゾーンに追加する] で、信頼する Web サイトの URL を入力し、次に [追加] ボタンをクリックします。
  5. ゾーンに追加したい各 Web サイトについて、これらのステップを繰り返します。
  6. [OK] を 2 回クリックし、変更を許可し、Internet Explorer に戻ります。

  注: システムで悪質な動作が行われないと信頼できるすべてのサイトを追加します。特に追加すべき 2 つの Web サイトは *.windowsupdate.microsoft.com および *.update.microsoft.com です。これらはセキュリティ更新プログラムをホストする Web サイトで、セキュリティ更新プログラムのインストールには ActiveX コントロールが必要です。

どのようなことが起こる可能性がありますか?
これはリモートでコードが実行される脆弱性です。攻撃者がこの脆弱性を悪用した場合、ログオンしたユーザーと同じユーザー権限を取得する可能性があります。システムでユーザー権限が低い設定のアカウントを持つユーザーは、管理者ユーザー権限で実行しているユーザーよりも、この脆弱性による影響が少ないと考えられます。

何が原因で起こりますか?
Internet Explorer が初期化されていないオブジェクト、または削除されたオブジェクトにアクセスしようとした場合、メモリが破損し、攻撃者によりログオンしているユーザーのコンテキストで任意のコードが実行される可能性があります。

この脆弱性により、攻撃者は何を行う可能性がありますか?
攻撃者がこの脆弱性を悪用した場合、ログオンしたユーザーと同じ権限を取得する可能性があります。ユーザーが管理者ユーザー権限でログオンしている場合、攻撃者が影響を受けるシステムを完全に制御する可能性があります。その後、攻撃者はプログラムのインストール、データの表示、変更、削除、または完全なユーザー権限を持つ新たなアカウントを作成する可能性があります。

攻撃者はこの脆弱性をどのように悪用する可能性がありますか?
攻撃者は、Internet Explorer を介してこの脆弱性を悪用するように特別に細工した Web サイトをホストし、ユーザーを誘導してその Web サイトを閲覧させ、その上のコンテンツをドラッグ アンド ドロップさせる可能性があります。また、攻撃者は IE のレンダリング エンジンをホストするアプリケーションまたは Microsoft Office 文書に「安全な初期化」とマークされている ActiveX コントロールを埋め込む可能性があります。また、攻撃者は侵害された Web サイトおよびユーザーが提供したコンテンツや広告を受け入れるまたはホストする Web サイトを利用する可能性があります。これらの Web サイトには、この脆弱性を悪用する可能性のある特別に細工されたコンテンツが含まれている場合があります。しかし、すべての場合において、強制的にユーザーに攻撃者が制御するコンテンツを表示させることはできません。その代わり、ユーザーに操作を行わせることが攻撃者にとっての必要条件となります。一般的には、ユーザーに電子メール メッセージまたはインスタント メッセンジャーのメッセージのリンクをクリックさせ、攻撃者の Web サイトへ誘導します。または、電子メールにより送信された添付ファイルを開かせようとします。さらに、攻撃者はユーザーを誘導して、ドラッグ アンド ドロップ操作を実行させようとします。

主にどのようなコンピューターがこの脆弱性による危険にさらされますか?
この脆弱性により、悪意のある動作が起こるには、ユーザーがログオンし、Web サイトを訪問することが攻撃者にとっての必要条件となります。このため、ワークステーションまたはターミナル サーバーなど、Internet Explorer を頻繁に使用するコンピューターが、最もこの脆弱性の危険にさらされる可能性があります。

Windows Server 2003、Windows Server 2008 または Windows Server 2008 R2 用の Internet Explorer を実行している場合、この脆弱性の影響は緩和されますか?
はい。既定で、Windows Server 2003、Windows Server 2008 および Windows Server 2008 R2 上の Internet Explorer は、「セキュリティ強化の構成」と呼ばれる制限されたモードで実行されます。セキュリティ強化の構成は、Internet Explorer で事前に設定され、ユーザーまたは管理者が特別に細工された Web コンテンツをサーバーにダウンロードし、実行する危険性を低減します。これは、Internet Explorer の信頼済みサイト ゾーンに追加していない Web サイトに対する「緩和する要素」に該当します。

この更新プログラムはどのように問題を修正しますか?
この更新プログラムは、Intenet Explorer がメモリのオブジェクトを処理する方法を変更することにより、この脆弱性を排除します。

このセキュリティ情報のリリース時に、この脆弱性は一般に公開されていましたか?
いいえ。マイクロソフトは協調的な脆弱性の公開により、この脆弱性に関する情報を受けました。

このセキュリティ情報の公開時に、マイクロソフトはこの脆弱性が悪用されたという報告を受けていましたか?
いいえ。マイクロソフトは、このセキュリティ情報が最初に公開された際に、この脆弱性が一般で悪用され、お客様が攻撃されていたことを示す情報を受けていませんでした。

「問題を緩和する要素」とは、設定、一般的な構成または一般的な最善策、既定の状態により、脆弱性の悪用の深刻度が低くなる可能性がある要素を指します。次の「問題を緩和する要素」は、お客様の環境で役立つ場合があります。

• Web ベースの攻撃のシナリオでは、攻撃者がこの脆弱性の悪用を意図した Web ページが含まれている Web サイトをホストする可能性があります。さらに、侵害された Web サイトおよびユーザー提供のコンテンツまたは広告を受け入れる、またはホストする Web サイトに、特別に細工されたコンテンツが含まれ、この脆弱性を悪用する可能性があります。しかし、すべての場合において、攻撃者が強制的にユーザーをこれらの Web サイトに訪問させる方法はありません。それに代わり、攻撃者はユーザーを攻撃者の Web サイトに訪問させようとします。一般的には、ユーザーに電子メール メッセージまたはインスタント メッセンジャーのメッセージのリンクをクリックさせ、攻撃者の Web サイトへ誘導します。
• 攻撃者がこの脆弱性を悪用した場合、ログオンしたユーザーと同じユーザー権限を取得する可能性があります。システムでユーザー権限が低い設定のアカウントを持つユーザーは、管理者ユーザー権限で実行しているユーザーよりも、この脆弱性による影響が少ないと考えられます。
• 既定で、すべてのサポートされているバージョンの Microsoft Outlook、Microsoft Outlook Express および Windows メールは、HTML 形式の電子メール メッセージを制限付きサイト ゾーンで開きます。制限付きサイト ゾーンはスクリプトおよび ActiveX コントロールを無効にし、この脆弱性を悪用し、悪意のあるコードを実行しようとする攻撃のリスクを排除するのに役立ちます。しかし、ユーザーが電子メール メッセージのリンクをクリックすると、Web ベースの攻撃シナリオで悪用した脆弱性の影響を受ける可能性があります。
• 既定で、Windows Server 2003、Windows Server 2008 および Windows Server 2008 R2 上の Internet Explorer は、「セキュリティ強化の構成」と呼ばれる制限されたモードで実行されます。このモードは、この脆弱性の影響を緩和します。Internet Explorer のセキュリティ強化の構成に関する詳細情報については、この脆弱性に関する「よく寄せられる質問」をご覧下さい。
• Internet Explorer 9 は、この脆弱性による影響を受けません。

回避策は、設定または構成の変更を示しており、基本的な脆弱性を正すものではありませんが、更新プログラムを適用する前に既知の攻撃方法を阻止するのに役立ちます。マイクロソフトは、以下の回避策を検証し、この回避策が機能性を低下させるかどうかについて、説明の部分で述べています。

• インターネットおよびローカル イントラネット セキュリティ ゾーンの設定を「高」に設定し、これらのゾーンで ActiveX コントロールおよびアクティブ スクリプトをブロックする

  インターネット セキュリティ ゾーンの設定を変更し、ActiveX コントロールおよびアクティブ スクリプトをブロックすることは、この脆弱性の悪用を防ぐのに役立ちます。これには、ブラウザーのセキュリティ設定を「高」に設定して実行します。

  Internet Explorer のブラウザーのセキュリティ レベルを上げるには、以下のステップを実行してください。

  1. Internet Explorer の [ツール] メニューの [インターネット オプション] をクリックします。
  2. [インターネット オプション] ダイアログ ボックスで、[セキュリティ] タブをクリックし、次に [インターネット] アイコンをクリックします。
  3. [このゾーンのセキュリティのレベル] の下のスライダーのつまみを「高」まで移動させます。これにより、訪問するすべての Web サイトのセキュリティ レベルが「高」に設定されます。

  注: スライダーが表示されていない場合、[既定のレベル] ボタンをクリックし、次にスライダーを「高」に移動させます。

  注: セキュリティ レベルを「高」に設定すると、Web サイトが正しく動作しない場合があります。この設定の変更後、Web サイトの使用が困難になり、そのサイトが安全だと確信できる場合は、そのサイトを [信頼済みサイト] に追加できます。これにより、セキュリティが「高」に設定されていても、そのサイトが適切に実行されます。

  回避策の影響: ActiveX コントロールおよびアクティブ スクリプトをブロックすると、別の影響があります。インターネットまたはイントラネット上の多くの Web サイトはActiveX またはアクティブ スクリプトを使用して、追加の機能を提供します。たとえば、オンラインの電子商取引またはオンライン バンキング サイトには ActiveX コントロールを使用して、メニュー、注文書、計算書などを提供しているものもあります。ActiveX コントロールまたはアクティブ スクリプトのブロックはグローバル設定であり、すべてのインターネットおよびイントラネット サイトに影響を及ぼします。ActiveX コントロールおよびアクティブ スクリプトをこれらの Web サイトでブロックしたくない場合、「信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する」で説明されているステップを行ってください。

  信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する

  インターネット ゾーンおよびローカル イントラネット ゾーンで ActiveX コントロールおよびアクティブ スクリプトをブロックするように設定後、信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加できます。これにより、信頼されていない Web サイトからの攻撃を防ぎながら、現在とまったく同じ様に、信頼する Web サイトを引き続き使用できます。マイクロソフトは信頼できる Web サイトのみを [信頼済み] サイト ゾーンに追加することを推奨します。

  これを行うためには、次のステップを実行します。

  1. Internet Explorer で [ツール] をクリックし、[インターネット オプション] をクリックします。次に [セキュリティ] タブをクリックします。
  2. [Web コンテンツのゾーンを選択してセキュリティのレベルを設定する] で、[信頼済みサイト] をクリックし、次に [サイト] をクリックします。
  3. 暗号化されたチャネルを必要としない Web サイトを追加したい場合、[このゾーンのサイトにはすべてサーバーの確認 (https:) を必要とする] のチェック ボックスをクリックし、チェックを外します。
  4. [次の Web サイトをゾーンに追加する] で、信頼する Web サイトの URL を入力し、次に [追加] ボタンをクリックします。
  5. ゾーンに追加したい各 Web サイトについて、これらのステップを繰り返します。
  6. [OK] を 2 回クリックし、変更を許可し、Internet Explorer に戻ります。

  注: システムで悪質な動作が行われないと信頼できるすべてのサイトを追加します。特に追加すべき 2 つの Web サイトは *.windowsupdate.microsoft.com および *.update.microsoft.com です。これらはセキュリティ更新プログラムをホストする Web サイトで、セキュリティ更新プログラムのインストールには ActiveX コントロールが必要です。

• インターネットおよびイントラネット ゾーンで、アクティブ スクリプトの実行前にダイアログを表示するように Internet Explorer を構成する、または アクティブ スクリプトを無効にするよう構成する

  インターネットおよびローカルのイントラネット セキュリティ ゾーンでアクティブ スクリプトが実行される前にダイアログが表示されるように設定を変更、またはアクティブ スクリプトを無効にするよう設定を変更することにより、この脆弱性の悪用を防ぐ手助けを行うことができます。これを行うためには、次のステップを実行します。

  1. Internet Explorer で、[ツール] メニューから [インターネット オプション] をクリックします。
  2. [セキュリティ] タブをクリックします。
  3. [インターネット] のアイコンをクリックし、次に [レベルのカスタマイズ] ボタンをクリックします。
  4. [設定] の [スクリプト] セクションの [アクティブ スクリプト] で [ダイアログを表示する] または [無効にする] をクリックします。次に [OK] をクリックします。
  5. [イントラネット] をクリックし、[レベルのカスタマイズ] をクリックします。
  6. [設定] の [スクリプト] セクションの [アクティブ スクリプト] で [ダイアログを表示する] または [無効にする] をクリックします。次に [OK] をクリックします。
  7. [OK] を 2 回クリックし、Internet Explorer に戻ります。

  注: インターネットおよびイントラネットのセキュリティ ゾーンでアクティブ スクリプトを無効にすると、Web サイトが正しく動作しなくなる場合があります。この設定の変更後、Web サイトの使用が困難になり、そのサイトが安全だと確信できる場合は、そのサイトを [信頼済みサイト] に追加できます。これにより、その Web サイトは正しく動作するようになります。

  回避策の影響: アクティブ スクリプトの実行前にダイアログを表示すると、別の影響があります。インターネットまたはイントラネット上の多くの Web サイトはアクティブ スクリプトを使用して、追加の機能を提供しています。たとえば、オンラインの電子商取引またはオンライン バンキング サイトにはアクティブ スクリプトを使用して、メニュー、注文書、計算書などを提供しているものもあります。アクティブ スクリプトの実行前にダイアログを表示する設定はグローバル設定であり、すべてのインターネットおよびイントラネット サイトに影響を及ぼします。この回避策を行うと、ダイアログが頻繁に表示されます。訪問している Web サイトが信頼できる場合、各ダイアログ表示で [はい] をクリックしてアクティブ スクリプトを実行してください。これらのすべての Web サイトでダイアログ表示が必要ない場合、「信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する」で説明されているステップを行ってください。

  信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する

  インターネット ゾーンおよびローカル イントラネット ゾーンで ActiveX コントロールおよびアクティブ スクリプトの実行前にダイアログを表示するように設定した後、信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加できます。これにより、信頼されていない Web サイトからの攻撃を防ぎながら、現在とまったく同じ様に、信頼する Web サイトを引き続き使用できます。マイクロソフトは信頼できる Web サイトのみを [信頼済み] サイト ゾーンに追加することを推奨します。

  これを行うためには、次のステップを実行します。

  1. Internet Explorer で [ツール] をクリックし、[インターネット オプション] をクリックします。次に [セキュリティ] タブをクリックします。
  2. [Web コンテンツのゾーンを選択してセキュリティのレベルを設定する] で、[信頼済みサイト] をクリックし、次に [サイト] をクリックします。
  3. 暗号化されたチャネルを必要としない Web サイトを追加したい場合、[このゾーンのサイトにはすべてサーバーの確認 (https:) を必要とする] のチェック ボックスをクリックし、チェックを外します。
  4. [次の Web サイトをゾーンに追加する] で、信頼する Web サイトの URL を入力し、次に [追加] ボタンをクリックします。
  5. ゾーンに追加したい各 Web サイトについて、これらのステップを繰り返します。
  6. [OK] を 2 回クリックし、変更を許可し、Internet Explorer に戻ります。

  注: システムで悪質な動作が行われないと信頼できるすべてのサイトを追加します。特に追加すべき 2 つの Web サイトは *.windowsupdate.microsoft.com および *.update.microsoft.com です。これらはセキュリティ更新プログラムをホストする Web サイトで、セキュリティ更新プログラムのインストールには ActiveX コントロールが必要です。

どのようなことが起こる可能性がありますか?
これはリモートでコードが実行される脆弱性です。攻撃者がこの脆弱性を悪用した場合、ログオンしたユーザーと同じユーザー権限を取得する可能性があります。システムでユーザー権限が低い設定のアカウントを持つユーザーは、管理者ユーザー権限で実行しているユーザーよりも、この脆弱性による影響が少ないと考えられます。

何が原因で起こりますか?
Internet Explorer が初期化されていないオブジェクト、または削除されたオブジェクトにアクセスしようとした場合、メモリが破損し、攻撃者によりログオンしているユーザーのコンテキストで任意のコードが実行される可能性があります。

この脆弱性により、攻撃者は何を行う可能性がありますか?
攻撃者がこの脆弱性を悪用した場合、ログオンしたユーザーと同じ権限を取得する可能性があります。ユーザーが管理者ユーザー権限でログオンしている場合、攻撃者が影響を受けるシステムを完全に制御する可能性があります。その後、攻撃者はプログラムのインストール、データの表示、変更、削除、または完全なユーザー権限を持つ新たなアカウントを作成する可能性があります。

攻撃者はこの脆弱性をどのように悪用する可能性がありますか?
攻撃者は、Internet Explorer を介してこの脆弱性を悪用するように特別に細工した Web サイトをホストし、ユーザーを誘導してその Web サイトを表示させる可能性があります。また、攻撃者は IE のレンダリング エンジンをホストするアプリケーションまたは Microsoft Office 文書に「安全な初期化」とマークされている ActiveX コントロールを埋め込む可能性があります。また、攻撃者は侵害された Web サイトおよびユーザーが提供したコンテンツや広告を受け入れるまたはホストする Web サイトを利用する可能性があります。これらの Web サイトには、この脆弱性を悪用する可能性のある特別に細工されたコンテンツが含まれている場合があります。しかし、すべての場合において、強制的にユーザーに攻撃者が制御するコンテンツを表示させることはできません。その代わり、ユーザーに操作を行わせることが攻撃者にとっての必要条件となります。一般的には、ユーザーに電子メール メッセージまたはインスタント メッセンジャーのメッセージのリンクをクリックさせ、攻撃者の Web サイトへ誘導します。または、電子メールにより送信された添付ファイルを開かせようとします。

主にどのようなコンピューターがこの脆弱性による危険にさらされますか?
この脆弱性により、悪意のある動作が起こるには、ユーザーがログオンし、Web サイトを訪問することが攻撃者にとっての必要条件となります。このため、ワークステーションまたはターミナル サーバーなど、Internet Explorer を頻繁に使用するコンピューターが、最もこの脆弱性の危険にさらされる可能性があります。

Windows Server 2003、Windows Server 2008 または Windows Server 2008 R2 用の Internet Explorer を実行している場合、この脆弱性の影響は緩和されますか?
はい。既定で、Windows Server 2003、Windows Server 2008 および Windows Server 2008 R2 上の Internet Explorer は、「セキュリティ強化の構成」と呼ばれる制限されたモードで実行されます。セキュリティ強化の構成は、Internet Explorer で事前に設定され、ユーザーまたは管理者が特別に細工された Web コンテンツをサーバーにダウンロードし、実行する危険性を低減します。これは、Internet Explorer の信頼済みサイト ゾーンに追加していない Web サイトに対する「緩和する要素」に該当します。

この更新プログラムはどのように問題を修正しますか?
この更新プログラムは、Intenet Explorer がメモリのオブジェクトを処理する方法を変更することにより、この脆弱性を排除します。

このセキュリティ情報のリリース時に、この脆弱性は一般に公開されていましたか?
いいえ。マイクロソフトは協調的な脆弱性の公開により、この脆弱性に関する情報を受けました。

このセキュリティ情報の公開時に、マイクロソフトはこの脆弱性が悪用されたという報告を受けていましたか?
いいえ。マイクロソフトは、このセキュリティ情報が最初に公開された際に、この脆弱性が一般で悪用され、お客様が攻撃されていたことを示す情報を受けていませんでした。

「問題を緩和する要素」とは、設定、一般的な構成または一般的な最善策、既定の状態により、脆弱性の悪用の深刻度が低くなる可能性がある要素を指します。次の「問題を緩和する要素」は、お客様の環境で役立つ場合があります。

• Web ベースの攻撃シナリオでは、攻撃者は Internet Explorer を介してこの脆弱性を悪用するために特別に細工した Web サイトをホストし、ユーザーにその Web サイトを閲覧し、その上でコピー/貼り付けするように誘導する可能性があります。また、攻撃者は IE のレンダリング エンジンをホストするアプリケーションまたは Microsoft Office 文書に「安全な初期化」とマークされている ActiveX コントロールを埋め込む可能性があります。また、攻撃者は侵害された Web サイトおよびユーザーが提供したコンテンツや広告を受け入れるまたはホストする Web サイトを利用する可能性があります。これらの Web サイトには、この脆弱性を悪用する可能性のある特別に細工されたコンテンツが含まれている場合があります。しかし、すべての場合において、強制的にユーザーに攻撃者が制御するコンテンツを表示させることはできません。その代わり、ユーザーに操作を行わせることが攻撃者にとっての必要条件となります。一般的には、ユーザーに電子メール メッセージまたはインスタント メッセンジャーのメッセージのリンクをクリックさせ、攻撃者の Web サイトへ誘導します。または、電子メールにより送信された添付ファイルを開かせようとします。
• しかし、この脆弱性が引き起こされるには、明らかなユーザー操作が行われることが、攻撃者にとっての必要条件となります。
• 既定で、すべてのサポートされているバージョンの Microsoft Outlook、Microsoft Outlook Express および Windows メールは、HTML 形式の電子メール メッセージを制限付きサイト ゾーンで開きます。制限付きサイト ゾーンはスクリプトおよび ActiveX コントロールを無効にし、この脆弱性を悪用し、悪意のあるコードを実行しようとする攻撃のリスクを排除するのに役立ちます。しかし、ユーザーが電子メール メッセージのリンクをクリックすると、Web ベースの攻撃シナリオで悪用した脆弱性の影響を受ける可能性があります。
• 既定で、Windows Server 2003、Windows Server 2008 および Windows Server 2008 R2 上の Internet Explorer は、「セキュリティ強化の構成」と呼ばれる制限されたモードで実行されます。このモードは、この脆弱性の影響を緩和します。Internet Explorer のセキュリティ強化の構成に関する詳細情報については、この脆弱性に関する「よく寄せられる質問」をご覧下さい。
• Internet Explorer 9 は、この脆弱性による影響を受けません。

回避策は、設定または構成の変更を示しており、基本的な脆弱性を正すものではありませんが、更新プログラムを適用する前に既知の攻撃方法を阻止するのに役立ちます。マイクロソフトは、以下の回避策を検証し、この回避策が機能性を低下させるかどうかについて、説明の部分で述べています。

• 電子メールをテキスト形式で読みとる

  電子メールによる攻撃から自分自身を保護するためには、電子メールをテキスト形式で読み取ってください。

  Office XP Service Pack 1 またはそれ以降のバージョンを適用している Microsoft Outlook 2002 ユーザーおよび Internet Explorer 6 Service Pack 1 またはそれ以降のバージョンを適用している Microsoft Outlook Express 6 ユーザーは、この設定を有効にし、デジタル署名されていない電子メール メッセージまたは暗号化されていない電子メール メッセージを、テキスト形式のみで表示するよう設定できます。

  デジタル署名または暗号化されている電子メール メッセージは、設定による影響は受けず、元の形式で読み取ることができる場合があります。Outlook 2002 のこの設定を有効にする方法に関する情報は、サポート技術情報 307594 で説明されています。

  Outlook Express 6 のこの設定に関する情報は、サポート技術情報 291387 で説明されています。

  回避策の影響: テキスト形式で表示される電子メール メッセージは、写真、特別なフォント、アニメーションまたはそのほかのリッチ形式のコンテンツを含むことはできません。さらに、次の影響があります。

  • 変更はプレビュー ウィンドウおよび開いているメッセージに適用されます。
  • 画像は、失われないように添付ファイルとなります。
  • メッセージは保存場所では依然としてリッチ テキスト形式、または HTML 形式であるため、オブジェクト モデル (カスタムコード ソリューション) が予期しない動作をする場合があります。
• インターネットおよびローカル イントラネット セキュリティ ゾーンの設定を「高」に設定し、これらのゾーンで ActiveX コントロールおよびアクティブ スクリプトをブロックする

  インターネット セキュリティ ゾーンの設定を変更し、ActiveX コントロールおよびアクティブ スクリプトをブロックすることは、この脆弱性の悪用を防ぐのに役立ちます。これには、ブラウザーのセキュリティ設定を「高」に設定して実行します。

  Internet Explorer のブラウザーのセキュリティ レベルを上げるには、以下のステップを実行してください。

  1. Internet Explorer の [ツール] メニューの [インターネット オプション] をクリックします。
  2. [インターネット オプション] ダイアログ ボックスで、[セキュリティ] タブをクリックし、次に [インターネット] アイコンをクリックします。
  3. [このゾーンのセキュリティのレベル] の下のスライダーのつまみを「高」まで移動させます。これにより、訪問するすべての Web サイトのセキュリティ レベルが「高」に設定されます。

  注: スライダーが表示されていない場合、[既定のレベル] ボタンをクリックし、次にスライダーを「高」に移動させます。

  注: セキュリティ レベルを「高」に設定すると、Web サイトが正しく動作しない場合があります。この設定の変更後、Web サイトの使用が困難になり、そのサイトが安全だと確信できる場合は、そのサイトを [信頼済みサイト] に追加できます。これにより、セキュリティが「高」に設定されていても、そのサイトが適切に実行されます。

  回避策の影響: ActiveX コントロールおよびアクティブ スクリプトをブロックすると、別の影響があります。インターネットまたはイントラネット上の多くの Web サイトはActiveX またはアクティブ スクリプトを使用して、追加の機能を提供します。たとえば、オンラインの電子商取引またはオンライン バンキング サイトには ActiveX コントロールを使用して、メニュー、注文書、計算書などを提供しているものもあります。ActiveX コントロールまたはアクティブ スクリプトのブロックはグローバル設定であり、すべてのインターネットおよびイントラネット サイトに影響を及ぼします。ActiveX コントロールおよびアクティブ スクリプトをこれらの Web サイトでブロックしたくない場合、「信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する」で説明されているステップを行ってください。

  信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する

  インターネット ゾーンおよびローカル イントラネット ゾーンで ActiveX コントロールおよびアクティブ スクリプトをブロックするように設定後、信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加できます。これにより、信頼されていない Web サイトからの攻撃を防ぎながら、現在とまったく同じ様に、信頼する Web サイトを引き続き使用できます。マイクロソフトは信頼できる Web サイトのみを [信頼済み] サイト ゾーンに追加することを推奨します。

  これを行うためには、次のステップを実行します。

  1. Internet Explorer で [ツール] をクリックし、[インターネット オプション] をクリックします。次に [セキュリティ] タブをクリックします。
  2. [Web コンテンツのゾーンを選択してセキュリティのレベルを設定する] で、[信頼済みサイト] をクリックし、次に [サイト] をクリックします。
  3. 暗号化されたチャネルを必要としない Web サイトを追加したい場合、[このゾーンのサイトにはすべてサーバーの確認 (https:) を必要とする] のチェック ボックスをクリックし、チェックを外します。
  4. [次の Web サイトをゾーンに追加する] で、信頼する Web サイトの URL を入力し、次に [追加] ボタンをクリックします。
  5. ゾーンに追加したい各 Web サイトについて、これらのステップを繰り返します。
  6. [OK] を 2 回クリックし、変更を許可し、Internet Explorer に戻ります。

  注: システムで悪質な動作が行われないと信頼できるすべてのサイトを追加します。特に追加すべき 2 つの Web サイトは *.windowsupdate.microsoft.com および *.update.microsoft.com です。これらはセキュリティ更新プログラムをホストする Web サイトで、セキュリティ更新プログラムのインストールには ActiveX コントロールが必要です。

• インターネットおよびイントラネット ゾーンで、アクティブ スクリプトの実行前にダイアログを表示するように Internet Explorer を構成する、または アクティブ スクリプトを無効にするよう構成する

  インターネットおよびローカルのイントラネット セキュリティ ゾーンでアクティブ スクリプトが実行される前にダイアログが表示されるように設定を変更、またはアクティブ スクリプトを無効にするよう設定を変更することにより、この脆弱性の悪用を防ぐ手助けを行うことができます。これを行うためには、次のステップを実行します。

  1. Internet Explorer で、[ツール] メニューから [インターネット オプション] をクリックします。
  2. [セキュリティ] タブをクリックします。
  3. [インターネット] のアイコンをクリックし、次に [レベルのカスタマイズ] ボタンをクリックします。
  4. [設定] の [スクリプト] セクションの [アクティブ スクリプト] で [ダイアログを表示する] または [無効にする] をクリックします。次に [OK] をクリックします。
  5. [イントラネット] をクリックし、[レベルのカスタマイズ] をクリックします。
  6. [設定] の [スクリプト] セクションの [アクティブ スクリプト] で [ダイアログを表示する] または [無効にする] をクリックします。次に [OK] をクリックします。
  7. [OK] を 2 回クリックし、Internet Explorer に戻ります。

  注: インターネットおよびイントラネットのセキュリティ ゾーンでアクティブ スクリプトを無効にすると、Web サイトが正しく動作しなくなる場合があります。この設定の変更後、Web サイトの使用が困難になり、そのサイトが安全だと確信できる場合は、そのサイトを [信頼済みサイト] に追加できます。これにより、その Web サイトは正しく動作するようになります。

  回避策の影響: アクティブ スクリプトの実行前にダイアログを表示すると、別の影響があります。インターネットまたはイントラネット上の多くの Web サイトはアクティブ スクリプトを使用して、追加の機能を提供しています。たとえば、オンラインの電子商取引またはオンライン バンキング サイトにはアクティブ スクリプトを使用して、メニュー、注文書、計算書などを提供しているものもあります。アクティブ スクリプトの実行前にダイアログを表示する設定はグローバル設定であり、すべてのインターネットおよびイントラネット サイトに影響を及ぼします。この回避策を行うと、ダイアログが頻繁に表示されます。訪問している Web サイトが信頼できる場合、各ダイアログ表示で [はい] をクリックしてアクティブ スクリプトを実行してください。これらのすべての Web サイトでダイアログ表示が必要ない場合、「信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する」で説明されているステップを行ってください。

  信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する

  インターネット ゾーンおよびローカル イントラネット ゾーンで ActiveX コントロールおよびアクティブ スクリプトの実行前にダイアログを表示するように設定した後、信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加できます。これにより、信頼されていない Web サイトからの攻撃を防ぎながら、現在とまったく同じ様に、信頼する Web サイトを引き続き使用できます。マイクロソフトは信頼できる Web サイトのみを [信頼済み] サイト ゾーンに追加することを推奨します。

  これを行うためには、次のステップを実行します。

  1. Internet Explorer で [ツール] をクリックし、[インターネット オプション] をクリックします。次に [セキュリティ] タブをクリックします。
  2. [Web コンテンツのゾーンを選択してセキュリティのレベルを設定する] で、[信頼済みサイト] をクリックし、次に [サイト] をクリックします。
  3. 暗号化されたチャネルを必要としない Web サイトを追加したい場合、[このゾーンのサイトにはすべてサーバーの確認 (https:) を必要とする] のチェック ボックスをクリックし、チェックを外します。
  4. [次の Web サイトをゾーンに追加する] で、信頼する Web サイトの URL を入力し、次に [追加] ボタンをクリックします。
  5. ゾーンに追加したい各 Web サイトについて、これらのステップを繰り返します。
  6. [OK] を 2 回クリックし、変更を許可し、Internet Explorer に戻ります。

  注: システムで悪質な動作が行われないと信頼できるすべてのサイトを追加します。特に追加すべき 2 つの Web サイトは *.windowsupdate.microsoft.com および *.update.microsoft.com です。これらはセキュリティ更新プログラムをホストする Web サイトで、セキュリティ更新プログラムのインストールには ActiveX コントロールが必要です。

どのようなことが起こる可能性がありますか?
これはリモートでコードが実行される脆弱性です。攻撃者がこの脆弱性を悪用した場合、ログオンしたユーザーと同じユーザー権限を取得する可能性があります。システムでユーザー権限が低い設定のアカウントを持つユーザーは、管理者ユーザー権限で実行しているユーザーよりも、この脆弱性による影響が少ないと考えられます。

何が原因で起こりますか?
Internet Explorer が初期化されていないオブジェクト、または削除されたオブジェクトにアクセスしようとした場合、メモリが破損し、攻撃者によりログオンしているユーザーのコンテキストで任意のコードが実行される可能性があります。

この脆弱性により、攻撃者は何を行う可能性がありますか?
攻撃者がこの脆弱性を悪用した場合、ログオンしたユーザーと同じ権限を取得する可能性があります。ユーザーが管理者ユーザー権限でログオンしている場合、攻撃者が影響を受けるシステムを完全に制御する可能性があります。その後、攻撃者はプログラムのインストール、データの表示、変更、削除、または完全なユーザー権限を持つ新たなアカウントを作成する可能性があります。

攻撃者はこの脆弱性をどのように悪用する可能性がありますか?
攻撃者は Internet Explorer を介してこの脆弱性を悪用するために特別に細工した Web サイトをホストし、ユーザーにその Web サイトを閲覧し、その上でコピー/貼り付けするように誘導する可能性があります。また、攻撃者は IE のレンダリング エンジンをホストするアプリケーションまたは Microsoft Office 文書に「安全な初期化」とマークされている ActiveX コントロールを埋め込む可能性があります。また、攻撃者は侵害された Web サイトおよびユーザーが提供したコンテンツや広告を受け入れるまたはホストする Web サイトを利用する可能性があります。これらの Web サイトには、この脆弱性を悪用する可能性のある特別に細工されたコンテンツが含まれている場合があります。しかし、すべての場合において、強制的にユーザーに攻撃者が制御するコンテンツを表示させることはできません。その代わり、ユーザーに操作を行わせることが攻撃者にとっての必要条件となります。一般的には、ユーザーに電子メール メッセージまたはインスタント メッセンジャーのメッセージのリンクをクリックさせ、攻撃者の Web サイトへ誘導します。または、電子メールにより送信された添付ファイルを開かせようとします。

主にどのようなコンピューターがこの脆弱性による危険にさらされますか?
この脆弱性により、悪意のある動作が起こるには、ユーザーがログオンし、Web サイトを訪問してコピー/貼り付けの操作をすることが、攻撃者にとっての必要条件となります。このため、ワークステーションまたはターミナル サーバーなど、Internet Explorer を頻繁に使用するコンピューターが、最もこの脆弱性の危険にさらされる可能性があります。

Windows Server 2003、Windows Server 2008 または Windows Server 2008 R2 用の Internet Explorer を実行している場合、この脆弱性の影響は緩和されますか?
はい。既定で、Windows Server 2003、Windows Server 2008 および Windows Server 2008 R2 上の Internet Explorer は、「セキュリティ強化の構成」と呼ばれる制限されたモードで実行されます。セキュリティ強化の構成は、Internet Explorer で事前に設定され、ユーザーまたは管理者が特別に細工された Web コンテンツをサーバーにダウンロードし、実行する危険性を低減します。これは、Internet Explorer の信頼済みサイト ゾーンに追加していない Web サイトに対する「緩和する要素」に該当します。

この更新プログラムはどのように問題を修正しますか?
この更新プログラムは、Intenet Explorer がメモリのオブジェクトを処理する方法を変更することにより、この脆弱性を排除します。

このセキュリティ情報のリリース時に、この脆弱性は一般に公開されていましたか?
いいえ。マイクロソフトは協調的な脆弱性の公開により、この脆弱性に関する情報を受けました。

このセキュリティ情報の公開時に、マイクロソフトはこの脆弱性が悪用されたという報告を受けていましたか?
いいえ。マイクロソフトは、このセキュリティ情報が最初に公開された際に、この脆弱性が一般で悪用され、お客様が攻撃されていたことを示す情報を受けていませんでした。

「問題を緩和する要素」とは、設定、一般的な構成または一般的な最善策、既定の状態により、脆弱性の悪用の深刻度が低くなる可能性がある要素を指します。次の「問題を緩和する要素」は、お客様の環境で役立つ場合があります。

• Web ベースの攻撃のシナリオでは、攻撃者がこの脆弱性の悪用を意図した Web ページが含まれている Web サイトをホストする可能性があります。さらに、侵害された Web サイトおよびユーザー提供のコンテンツまたは広告を受け入れる、またはホストする Web サイトに、特別に細工されたコンテンツが含まれ、この脆弱性を悪用する可能性があります。しかし、すべての場合において、攻撃者が強制的にユーザーをこれらの Web サイトに訪問させる方法はありません。それに代わり、攻撃者はユーザーを攻撃者の Web サイトに訪問させようとします。一般的には、ユーザーに電子メール メッセージまたはインスタント メッセンジャーのメッセージのリンクをクリックさせ、攻撃者の Web サイトへ誘導します。
• 既定で、すべてのサポートされているバージョンの Microsoft Outlook、Microsoft Outlook Express および Windows メールは、HTML 形式の電子メール メッセージを制限付きサイト ゾーンで開きます。制限付きサイト ゾーンはスクリプトおよび ActiveX コントロールを無効にし、この脆弱性を悪用し、悪意のあるコードを実行しようとする攻撃のリスクを排除するのに役立ちます。しかし、ユーザーが電子メール メッセージのリンクをクリックすると、Web ベースの攻撃シナリオで悪用した脆弱性の影響を受ける可能性があります。
• 既定で、Windows Server 2003、Windows Server 2008 および Windows Server 2008 R2 上の Internet Explorer は、「セキュリティ強化の構成」と呼ばれる制限されたモードで実行されます。このモードは、この脆弱性の影響を緩和します。Internet Explorer のセキュリティ強化の構成に関する詳細情報については、この脆弱性に関する「よく寄せられる質問」をご覧ください。
• Internet Explorer 9 は、この脆弱性による影響を受けません。

回避策は、設定または構成の変更を示しており、基本的な脆弱性を正すものではありませんが、更新プログラムを適用する前に既知の攻撃方法を阻止するのに役立ちます。マイクロソフトは、以下の回避策を検証し、この回避策が機能性を低下させるかどうかについて、説明の部分で述べています。

• インターネットおよびローカル イントラネット セキュリティ ゾーンの設定を「高」に設定し、これらのゾーンで ActiveX コントロールおよびアクティブ スクリプトをブロックする

  インターネット セキュリティ ゾーンの設定を変更し、ActiveX コントロールおよびアクティブ スクリプトをブロックすることは、この脆弱性の悪用を防ぐのに役立ちます。これには、ブラウザーのセキュリティ設定を「高」に設定して実行します。

  Internet Explorer のブラウザーのセキュリティ レベルを上げるには、以下のステップを実行してください。

  1. Internet Explorer の [ツール] メニューの [インターネット オプション] をクリックします。
  2. [インターネット オプション] ダイアログ ボックスで、[セキュリティ] タブをクリックし、次に [インターネット] アイコンをクリックします。
  3. [このゾーンのセキュリティのレベル] の下のスライダーのつまみを「高」まで移動させます。これにより、訪問するすべての Web サイトのセキュリティ レベルが「高」に設定されます。

  注: スライダーが表示されていない場合、[既定のレベル] ボタンをクリックし、次にスライダーを「高」に移動させます。

  注: セキュリティ レベルを「高」に設定すると、Web サイトが正しく動作しない場合があります。この設定の変更後、Web サイトの使用が困難になり、そのサイトが安全だと確信できる場合は、そのサイトを [信頼済みサイト] に追加できます。これにより、セキュリティが「高」に設定されていても、そのサイトが適切に実行されます。

  回避策の影響: ActiveX コントロールおよびアクティブ スクリプトをブロックすると、別の影響があります。インターネットまたはイントラネット上の多くの Web サイトはActiveX またはアクティブ スクリプトを使用して、追加の機能を提供します。たとえば、オンラインの電子商取引またはオンライン バンキング サイトには ActiveX コントロールを使用して、メニュー、注文書、計算書などを提供しているものもあります。ActiveX コントロールまたはアクティブ スクリプトのブロックはグローバル設定であり、すべてのインターネットおよびイントラネット サイトに影響を及ぼします。ActiveX コントロールおよびアクティブ スクリプトをこれらの Web サイトでブロックしたくない場合、「信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する」で説明されているステップを行ってください。

  信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する

  インターネット ゾーンおよびローカル イントラネット ゾーンで ActiveX コントロールおよびアクティブ スクリプトをブロックするように設定後、信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加できます。これにより、信頼されていない Web サイトからの攻撃を防ぎながら、現在とまったく同じ様に、信頼する Web サイトを引き続き使用できます。マイクロソフトは信頼できる Web サイトのみを [信頼済み] サイト ゾーンに追加することを推奨します。

  これを行うためには、次のステップを実行します。

  1. Internet Explorer で [ツール] をクリックし、[インターネット オプション] をクリックします。次に [セキュリティ] タブをクリックします。
  2. [Web コンテンツのゾーンを選択してセキュリティのレベルを設定する] で、[信頼済みサイト] をクリックし、次に [サイト] をクリックします。
  3. 暗号化されたチャネルを必要としない Web サイトを追加したい場合、[このゾーンのサイトにはすべてサーバーの確認 (https:) を必要とする] のチェック ボックスをクリックし、チェックを外します。
  4. [次の Web サイトをゾーンに追加する] で、信頼する Web サイトの URL を入力し、次に [追加] ボタンをクリックします。
  5. ゾーンに追加したい各 Web サイトについて、これらのステップを繰り返します。
  6. [OK] を 2 回クリックし、変更を許可し、Internet Explorer に戻ります。

  注: システムで悪質な動作が行われないと信頼できるすべてのサイトを追加します。特に追加すべき 2 つの Web サイトは *.windowsupdate.microsoft.com および *.update.microsoft.com です。これらはセキュリティ更新プログラムをホストする Web サイトで、セキュリティ更新プログラムのインストールには ActiveX コントロールが必要です。

• インターネットおよびイントラネット ゾーンで、アクティブ スクリプトの実行前にダイアログを表示するように Internet Explorer を構成する、または アクティブ スクリプトを無効にするよう構成する

  インターネットおよびローカルのイントラネット セキュリティ ゾーンでアクティブ スクリプトが実行される前にダイアログが表示されるように設定を変更、またはアクティブ スクリプトを無効にするよう設定を変更することにより、この脆弱性の悪用を防ぐ手助けを行うことができます。これを行うためには、次のステップを実行します。

  1. Internet Explorer で、[ツール] メニューから [インターネット オプション] をクリックします。
  2. [セキュリティ] タブをクリックします。
  3. [インターネット] のアイコンをクリックし、次に [レベルのカスタマイズ] ボタンをクリックします。
  4. [設定] の [スクリプト] セクションの [アクティブ スクリプト] で [ダイアログを表示する] または [無効にする] をクリックします。次に [OK] をクリックします。
  5. [イントラネット] をクリックし、[レベルのカスタマイズ] をクリックします。
  6. [設定] の [スクリプト] セクションの [アクティブ スクリプト] で [ダイアログを表示する] または [無効にする] をクリックします。次に [OK] をクリックします。
  7. [OK] を 2 回クリックし、Internet Explorer に戻ります。

  注: インターネットおよびイントラネットのセキュリティ ゾーンでアクティブ スクリプトを無効にすると、Web サイトが正しく動作しなくなる場合があります。この設定の変更後、Web サイトの使用が困難になり、そのサイトが安全だと確信できる場合は、そのサイトを [信頼済みサイト] に追加できます。これにより、その Web サイトは正しく動作するようになります。

  回避策の影響: アクティブ スクリプトの実行前にダイアログを表示すると、別の影響があります。インターネットまたはイントラネット上の多くの Web サイトはアクティブ スクリプトを使用して、追加の機能を提供しています。たとえば、オンラインの電子商取引またはオンライン バンキング サイトにはアクティブ スクリプトを使用して、メニュー、注文書、計算書などを提供しているものもあります。アクティブ スクリプトの実行前にダイアログを表示する設定はグローバル設定であり、すべてのインターネットおよびイントラネット サイトに影響を及ぼします。この回避策を行うと、ダイアログが頻繁に表示されます。訪問している Web サイトが信頼できる場合、各ダイアログ表示で [はい] をクリックしてアクティブ スクリプトを実行してください。これらのすべての Web サイトでダイアログ表示が必要ない場合、「信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する」で説明されているステップを行ってください。

  信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する

  インターネット ゾーンおよびローカル イントラネット ゾーンで ActiveX コントロールおよびアクティブ スクリプトの実行前にダイアログを表示するように設定した後、信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加できます。これにより、信頼されていない Web サイトからの攻撃を防ぎながら、現在とまったく同じ様に、信頼する Web サイトを引き続き使用できます。マイクロソフトは信頼できる Web サイトのみを [信頼済み] サイト ゾーンに追加することを推奨します。

  これを行うためには、次のステップを実行します。

  1. Internet Explorer で [ツール] をクリックし、[インターネット オプション] をクリックします。次に [セキュリティ] タブをクリックします。
  2. [Web コンテンツのゾーンを選択してセキュリティのレベルを設定する] で、[信頼済みサイト] をクリックし、次に [サイト] をクリックします。
  3. 暗号化されたチャネルを必要としない Web サイトを追加したい場合、[このゾーンのサイトにはすべてサーバーの確認 (https:) を必要とする] のチェック ボックスをクリックし、チェックを外します。
  4. [次の Web サイトをゾーンに追加する] で、信頼する Web サイトの URL を入力し、次に [追加] ボタンをクリックします。
  5. ゾーンに追加したい各 Web サイトについて、これらのステップを繰り返します。
  6. [OK] を 2 回クリックし、変更を許可し、Internet Explorer に戻ります。

  注: システムで悪質な動作が行われないと信頼できるすべてのサイトを追加します。特に追加すべき 2 つの Web サイトは *.windowsupdate.microsoft.com および *.update.microsoft.com です。これらはセキュリティ更新プログラムをホストする Web サイトで、セキュリティ更新プログラムのインストールには ActiveX コントロールが必要です。

どのようなことが起こる可能性がありますか?
これは情報漏えいの脆弱性です。攻撃者によりこの脆弱性が悪用された場合、ユーザーが Web ページを閲覧して、ドラッグ アンド ドロップの操作を行った場合、異なるドメイン、または攻撃者の Web ページのドメインまたはゾーン以外の Internet Explorer のゾーンからコンテンツが参照される可能性があります。

何が原因で起こりますか?
特定のプロセス中に、Internet Explorer がスクリプトが別のドメインからのコンテンツにアクセスおよび読み取りすることを不正確に許可します。

この脆弱性により、攻撃者は何を行う可能性がありますか?
攻撃者がこの脆弱性を悪用した場合、Internet Explorer のセキュリティ ゾーンまたは別のドメインからコンテンツを閲覧する可能性があります。

攻撃者はこの脆弱性をどのように悪用する可能性がありますか?
攻撃者は、Internet Explorer を介してこの脆弱性を悪用するように特別に細工した Web サイトをホストし、ユーザーを誘導してその Web サイトを閲覧させ、ドラッグ アンド ドロップの操作をするように誘導する可能性があります。また、攻撃者は侵害された Web サイトおよびユーザーが提供したコンテンツや広告を受け入れるまたはホストする Web サイトを利用する可能性があります。これらの Web サイトには、この脆弱性を悪用する可能性のある特別に細工されたコンテンツが含まれている場合があります。しかし、すべての場合において、攻撃者が強制的にユーザーをこれらの Web サイトに訪問させる方法はありません。その代わり、攻撃者はユーザーを攻撃者の Web サイトに訪問させようとします。一般的には、ユーザーに電子メール メッセージまたはインスタント メッセンジャーのメッセージのリンクをクリックさせ、攻撃者の Web サイトへ誘導して、ドラッグ アンド ドラッグの操作を実行するように誘導します。また、バナー広告や、別の方法を悪用して影響を受けるコンピューターに特別に細工した Web コンテンツを提供し、それを表示する可能性もあります。

主にどのようなコンピューターがこの脆弱性による危険にさらされますか?
この脆弱性により、悪意のある動作が起こるには、ユーザーがログオンし、Web サイトを訪問してドラッグ アンド ドロップの操作をすることが、攻撃者にとっての必要条件となります。このため、ワークステーションまたはターミナル サーバーなど、Internet Explorer を頻繁に使用するコンピューターが、最もこの脆弱性の危険にさらされる可能性があります。

Windows Server 2003、Windows Server 2008 または Windows Server 2008 R2 用の Internet Explorer を実行している場合、この脆弱性の影響は緩和されますか?
はい。既定で、Windows Server 2003、Windows Server 2008 および Windows Server 2008 R2 上の Internet Explorer は、「セキュリティ強化の構成」と呼ばれる制限されたモードで実行されます。セキュリティ強化の構成は、Internet Explorer で事前に設定され、ユーザーまたは管理者が特別に細工された Web コンテンツをサーバーにダウンロードし、実行する危険性を低減します。これは、Internet Explorer の信頼済みサイト ゾーンに追加していない Web サイトに対する「緩和する要素」に該当します。

この更新プログラムはどのように問題を修正しますか?
この更新プログラムは、Intenet Explorer が特定の処理中にスクリプトを処理する方法を変更することにより、この脆弱性を排除します。

このセキュリティ情報のリリース時に、この脆弱性は一般に公開されていましたか?
いいえ。マイクロソフトは協調的な脆弱性の公開により、この脆弱性に関する情報を受けました。

このセキュリティ情報の公開時に、マイクロソフトはこの脆弱性が悪用されたという報告を受けていましたか?
いいえ。マイクロソフトは、このセキュリティ情報が最初に公開された際に、この脆弱性が一般で悪用され、お客様が攻撃されていたことを示す情報を受けていませんでした。

「問題を緩和する要素」とは、設定、一般的な構成または一般的な最善策、既定の状態により、脆弱性の悪用の深刻度が低くなる可能性がある要素を指します。次の「問題を緩和する要素」は、お客様の環境で役立つ場合があります。

• Web ベースの攻撃シナリオでは、攻撃者は Internet Explorer を介して、この脆弱性の悪用するために特別に細工した Web サイトをホストし、ユーザーにその Web サイトを閲覧するように誘導する可能性があります。また、攻撃者は IE のレンダリング エンジンをホストするアプリケーションまたは Microsoft Office 文書に「安全な初期化」とマークされている ActiveX コントロールを埋め込む可能性があります。また、攻撃者は侵害された Web サイトおよびユーザーが提供したコンテンツや広告を受け入れるまたはホストする Web サイトを利用する可能性があります。これらの Web サイトには、この脆弱性を悪用する可能性のある特別に細工されたコンテンツが含まれている場合があります。しかし、すべての場合において、強制的にユーザーに攻撃者が制御するコンテンツを表示させることはできません。その代わり、ユーザーに操作を行わせることが攻撃者にとっての必要条件となります。一般的には、ユーザーに電子メール メッセージまたはインスタント メッセンジャーのメッセージのリンクをクリックさせ、攻撃者の Web サイトへ誘導します。または、電子メールにより送信された添付ファイルを開かせようとします。
• 攻撃者がこの脆弱性を悪用した場合、ログオンしたユーザーと同じユーザー権限を取得する可能性があります。システムでユーザー権限が低い設定のアカウントを持つユーザーは、管理者ユーザー権限で実行しているユーザーよりも、この脆弱性による影響が少ないと考えられます。

回避策は、設定または構成の変更を示しており、基本的な脆弱性を正すものではありませんが、更新プログラムを適用する前に既知の攻撃方法を阻止するのに役立ちます。マイクロソフトは、以下の回避策を検証し、この回避策が機能性を低下させるかどうかについて、説明の部分で述べています。

• インターネットおよびローカル イントラネット セキュリティ ゾーンの設定を「高」に設定し、これらのゾーンで ActiveX コントロールおよびアクティブ スクリプトをブロックする

  インターネット セキュリティ ゾーンの設定を変更し、ActiveX コントロールおよびアクティブ スクリプトをブロックすることは、この脆弱性の悪用を防ぐのに役立ちます。これには、ブラウザーのセキュリティ設定を「高」に設定して実行します。

  Internet Explorer のブラウザーのセキュリティ レベルを上げるには、以下のステップを実行してください。

  1. Internet Explorer の [ツール] メニューの [インターネット オプション] をクリックします。
  2. [インターネット オプション] ダイアログ ボックスで、[セキュリティ] タブをクリックし、次に [インターネット] アイコンをクリックします。
  3. [このゾーンのセキュリティのレベル] の下のスライダーのつまみを「高」まで移動させます。これにより、訪問するすべての Web サイトのセキュリティ レベルが「高」に設定されます。

  注: スライダーが表示されていない場合、[既定のレベル] ボタンをクリックし、次にスライダーを「高」に移動させます。

  注: セキュリティ レベルを「高」に設定すると、Web サイトが正しく動作しない場合があります。この設定の変更後、Web サイトの使用が困難になり、そのサイトが安全だと確信できる場合は、そのサイトを [信頼済みサイト] に追加できます。これにより、セキュリティが「高」に設定されていても、そのサイトが適切に実行されます。

  回避策の影響: ActiveX コントロールおよびアクティブ スクリプトをブロックすると、別の影響があります。インターネットまたはイントラネット上の多くの Web サイトはActiveX またはアクティブ スクリプトを使用して、追加の機能を提供します。たとえば、オンラインの電子商取引またはオンライン バンキング サイトには ActiveX コントロールを使用して、メニュー、注文書、計算書などを提供しているものもあります。ActiveX コントロールまたはアクティブ スクリプトのブロックはグローバル設定であり、すべてのインターネットおよびイントラネット サイトに影響を及ぼします。ActiveX コントロールおよびアクティブ スクリプトをこれらの Web サイトでブロックしたくない場合、「信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する」で説明されているステップを行ってください。

  信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する

  インターネット ゾーンおよびローカル イントラネット ゾーンで ActiveX コントロールおよびアクティブ スクリプトをブロックするように設定後、信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加できます。これにより、信頼されていない Web サイトからの攻撃を防ぎながら、現在とまったく同じ様に、信頼する Web サイトを引き続き使用できます。マイクロソフトは信頼できる Web サイトのみを [信頼済み] サイト ゾーンに追加することを推奨します。

  これを行うためには、次のステップを実行します。

  1. Internet Explorer で [ツール] をクリックし、[インターネット オプション] をクリックします。次に [セキュリティ] タブをクリックします。
  2. [Web コンテンツのゾーンを選択してセキュリティのレベルを設定する] で、[信頼済みサイト] をクリックし、次に [サイト] をクリックします。
  3. 暗号化されたチャネルを必要としない Web サイトを追加したい場合、[このゾーンのサイトにはすべてサーバーの確認 (https:) を必要とする] のチェック ボックスをクリックし、チェックを外します。
  4. [次の Web サイトをゾーンに追加する] で、信頼する Web サイトの URL を入力し、次に [追加] ボタンをクリックします。
  5. ゾーンに追加したい各 Web サイトについて、これらのステップを繰り返します。
  6. [OK] を 2 回クリックし、変更を許可し、Internet Explorer に戻ります。

  注: システムで悪質な動作が行われないと信頼できるすべてのサイトを追加します。特に追加すべき 2 つの Web サイトは *.windowsupdate.microsoft.com および *.update.microsoft.com です。これらはセキュリティ更新プログラムをホストする Web サイトで、セキュリティ更新プログラムのインストールには ActiveX コントロールが必要です。

• インターネットおよびイントラネット ゾーンで、アクティブ スクリプトの実行前にダイアログを表示するように Internet Explorer を構成する、または アクティブ スクリプトを無効にするよう構成する

  インターネットおよびローカルのイントラネット セキュリティ ゾーンでアクティブ スクリプトが実行される前にダイアログが表示されるように設定を変更、またはアクティブ スクリプトを無効にするよう設定を変更することにより、この脆弱性の悪用を防ぐ手助けを行うことができます。これを行うためには、次のステップを実行します。

  1. Internet Explorer で、[ツール] メニューから [インターネット オプション] をクリックします。
  2. [セキュリティ] タブをクリックします。
  3. [インターネット] のアイコンをクリックし、次に [レベルのカスタマイズ] ボタンをクリックします。
  4. [設定] の [スクリプト] セクションの [アクティブ スクリプト] で [ダイアログを表示する] または [無効にする] をクリックします。次に [OK] をクリックします。
  5. [イントラネット] をクリックし、[レベルのカスタマイズ] をクリックします。
  6. [設定] の [スクリプト] セクションの [アクティブ スクリプト] で [ダイアログを表示する] または [無効にする] をクリックします。次に [OK] をクリックします。
  7. [OK] を 2 回クリックし、Internet Explorer に戻ります。

  注: インターネットおよびイントラネットのセキュリティ ゾーンでアクティブ スクリプトを無効にすると、Web サイトが正しく動作しなくなる場合があります。この設定の変更後、Web サイトの使用が困難になり、そのサイトが安全だと確信できる場合は、そのサイトを [信頼済みサイト] に追加できます。これにより、その Web サイトは正しく動作するようになります。

  回避策の影響: アクティブ スクリプトの実行前にダイアログを表示すると、別の影響があります。インターネットまたはイントラネット上の多くの Web サイトはアクティブ スクリプトを使用して、追加の機能を提供しています。たとえば、オンラインの電子商取引またはオンライン バンキング サイトにはアクティブ スクリプトを使用して、メニュー、注文書、計算書などを提供しているものもあります。アクティブ スクリプトの実行前にダイアログを表示する設定はグローバル設定であり、すべてのインターネットおよびイントラネット サイトに影響を及ぼします。この回避策を行うと、ダイアログが頻繁に表示されます。訪問している Web サイトが信頼できる場合、各ダイアログ表示で [はい] をクリックしてアクティブ スクリプトを実行してください。これらのすべての Web サイトでダイアログ表示が必要ない場合、「信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する」で説明されているステップを行ってください。

  信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する

  インターネット ゾーンおよびローカル イントラネット ゾーンで ActiveX コントロールおよびアクティブ スクリプトの実行前にダイアログを表示するように設定した後、信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加できます。これにより、信頼されていない Web サイトからの攻撃を防ぎながら、現在とまったく同じ様に、信頼する Web サイトを引き続き使用できます。マイクロソフトは信頼できる Web サイトのみを [信頼済み] サイト ゾーンに追加することを推奨します。

  これを行うためには、次のステップを実行します。

  1. Internet Explorer で [ツール] をクリックし、[インターネット オプション] をクリックします。次に [セキュリティ] タブをクリックします。
  2. [Web コンテンツのゾーンを選択してセキュリティのレベルを設定する] で、[信頼済みサイト] をクリックし、次に [サイト] をクリックします。
  3. 暗号化されたチャネルを必要としない Web サイトを追加したい場合、[このゾーンのサイトにはすべてサーバーの確認 (https:) を必要とする] のチェック ボックスをクリックし、チェックを外します。
  4. [次の Web サイトをゾーンに追加する] で、信頼する Web サイトの URL を入力し、次に [追加] ボタンをクリックします。
  5. ゾーンに追加したい各 Web サイトについて、これらのステップを繰り返します。
  6. [OK] を 2 回クリックし、変更を許可し、Internet Explorer に戻ります。

  注: システムで悪質な動作が行われないと信頼できるすべてのサイトを追加します。特に追加すべき 2 つの Web サイトは *.windowsupdate.microsoft.com および *.update.microsoft.com です。これらはセキュリティ更新プログラムをホストする Web サイトで、セキュリティ更新プログラムのインストールには ActiveX コントロールが必要です。

どのようなことが起こる可能性がありますか?
これはリモートでコードが実行される脆弱性です。攻撃者がこの脆弱性を悪用した場合、ログオンしたユーザーと同じユーザー権限を取得する可能性があります。システムでユーザー権限が低い設定のアカウントを持つユーザーは、管理者ユーザー権限で実行しているユーザーよりも、この脆弱性による影響が少ないと考えられます。

何が原因で起こりますか?
Internet Explorer が初期化されていないオブジェクト、または削除されたオブジェクトにアクセスしようとした場合、メモリが破損し、攻撃者によりログオンしているユーザーのコンテキストで任意のコードが実行される可能性があります。

この脆弱性により、攻撃者は何を行う可能性がありますか?
攻撃者がこの脆弱性を悪用した場合、ログオンしたユーザーと同じ権限を取得する可能性があります。ユーザーが管理者ユーザー権限でログオンしている場合、攻撃者が影響を受けるシステムを完全に制御する可能性があります。その後、攻撃者はプログラムのインストール、データの表示、変更、削除、または完全なユーザー権限を持つ新たなアカウントを作成する可能性があります。

攻撃者はこの脆弱性をどのように悪用する可能性がありますか?
攻撃者は、Internet Explorer を介してこの脆弱性を悪用するように特別に細工した Web サイトをホストし、ユーザーを誘導してその Web サイトを表示させる可能性があります。また、攻撃者は IE のレンダリング エンジンをホストするアプリケーションまたは Microsoft Office 文書に「安全な初期化」とマークされている ActiveX コントロールを埋め込む可能性があります。また、攻撃者は侵害された Web サイトおよびユーザーが提供したコンテンツや広告を受け入れるまたはホストする Web サイトを利用する可能性があります。これらの Web サイトには、この脆弱性を悪用する可能性のある特別に細工されたコンテンツが含まれている場合があります。しかし、すべての場合において、強制的にユーザーに攻撃者が制御するコンテンツを表示させることはできません。その代わり、ユーザーに操作を行わせることが攻撃者にとっての必要条件となります。一般的には、ユーザーに電子メール メッセージまたはインスタント メッセンジャーのメッセージのリンクをクリックさせ、攻撃者の Web サイトへ誘導します。または、電子メールにより送信された添付ファイルを開かせようとします。

主にどのようなコンピューターがこの脆弱性による危険にさらされますか?
この脆弱性により、悪意のある動作が起こるには、ユーザーがログオンし、Web サイトを訪問することが攻撃者にとっての必要条件となります。このため、ワークステーションまたはターミナル サーバーなど、Internet Explorer を頻繁に使用するコンピューターが、最もこの脆弱性の危険にさらされる可能性があります。

この更新プログラムはどのように問題を修正しますか?
この更新プログラムは、Intenet Explorer がメモリのオブジェクトを処理する方法を変更することにより、この脆弱性を排除します。

このセキュリティ情報のリリース時に、この脆弱性は一般に公開されていましたか?
いいえ。マイクロソフトは協調的な脆弱性の公開により、この脆弱性に関する情報を受けました。

このセキュリティ情報の公開時に、マイクロソフトはこの脆弱性が悪用されたという報告を受けていましたか?
いいえ。マイクロソフトは、このセキュリティ情報が最初に公開された際に、この脆弱性が一般で悪用され、お客様が攻撃されていたことを示す情報を受けていませんでした。

「問題を緩和する要素」とは、設定、一般的な構成または一般的な最善策、既定の状態により、脆弱性の悪用の深刻度が低くなる可能性がある要素を指します。次の「問題を緩和する要素」は、お客様の環境で役立つ場合があります。

• Web ベースの攻撃シナリオでは、攻撃者は Internet Explorer を介して、この脆弱性の悪用するために特別に細工した Web サイトをホストし、ユーザーにその Web サイトを閲覧するように誘導する可能性があります。また、攻撃者は IE のレンダリング エンジンをホストするアプリケーションまたは Microsoft Office 文書に「安全な初期化」とマークされている ActiveX コントロールを埋め込む可能性があります。また、攻撃者は侵害された Web サイトおよびユーザーが提供したコンテンツや広告を受け入れるまたはホストする Web サイトを利用する可能性があります。これらの Web サイトには、この脆弱性を悪用する可能性のある特別に細工されたコンテンツが含まれている場合があります。しかし、すべての場合において、強制的にユーザーに攻撃者が制御するコンテンツを表示させることはできません。その代わり、ユーザーに操作を行わせることが攻撃者にとっての必要条件となります。一般的には、ユーザーに電子メール メッセージまたはインスタント メッセンジャーのメッセージのリンクをクリックさせ、攻撃者の Web サイトへ誘導します。または、電子メールにより送信された添付ファイルを開かせようとします。
• 攻撃者がこの脆弱性を悪用した場合、ログオンしたユーザーと同じユーザー権限を取得する可能性があります。システムでユーザー権限が低い設定のアカウントを持つユーザーは、管理者ユーザー権限で実行しているユーザーよりも、この脆弱性による影響が少ないと考えられます。
• 既定で、すべてのサポートされているバージョンの Microsoft Outlook、Microsoft Outlook Express および Windows メールは、HTML 形式の電子メール メッセージを制限付きサイト ゾーンで開きます。制限付きサイト ゾーンはスクリプトおよび ActiveX コントロールを無効にし、この脆弱性を悪用し、悪意のあるコードを実行しようとする攻撃のリスクを排除するのに役立ちます。しかし、ユーザーが電子メール メッセージのリンクをクリックすると、Web ベースの攻撃シナリオで悪用した脆弱性の影響を受ける可能性があります。
• 既定で、Windows Server 2003、Windows Server 2008 および Windows Server 2008 R2 上の Internet Explorer は、「セキュリティ強化の構成」と呼ばれる制限されたモードで実行されます。このモードは、この脆弱性の影響を緩和します。Internet Explorer のセキュリティ強化の構成に関する詳細情報については、この脆弱性に関する「よく寄せられる質問」をご覧下さい。

回避策は、設定または構成の変更を示しており、基本的な脆弱性を正すものではありませんが、更新プログラムを適用する前に既知の攻撃方法を阻止するのに役立ちます。マイクロソフトは、以下の回避策を検証し、この回避策が機能性を低下させるかどうかについて、説明の部分で述べています。

• インターネットおよびローカル イントラネット セキュリティ ゾーンの設定を「高」に設定し、これらのゾーンで ActiveX コントロールおよびアクティブ スクリプトをブロックする

  インターネット セキュリティ ゾーンの設定を変更し、ActiveX コントロールおよびアクティブ スクリプトをブロックすることは、この脆弱性の悪用を防ぐのに役立ちます。これには、ブラウザーのセキュリティ設定を「高」に設定して実行します。

  Internet Explorer のブラウザーのセキュリティ レベルを上げるには、以下のステップを実行してください。

  1. Internet Explorer の [ツール] メニューの [インターネット オプション] をクリックします。
  2. [インターネット オプション] ダイアログ ボックスで、[セキュリティ] タブをクリックし、次に [インターネット] アイコンをクリックします。
  3. [このゾーンのセキュリティのレベル] の下のスライダーのつまみを「高」まで移動させます。これにより、訪問するすべての Web サイトのセキュリティ レベルが「高」に設定されます。

  注: スライダーが表示されていない場合、[既定のレベル] ボタンをクリックし、次にスライダーを「高」に移動させます。

  注: セキュリティ レベルを「高」に設定すると、Web サイトが正しく動作しない場合があります。この設定の変更後、Web サイトの使用が困難になり、そのサイトが安全だと確信できる場合は、そのサイトを [信頼済みサイト] に追加できます。これにより、セキュリティが「高」に設定されていても、そのサイトが適切に実行されます。

  回避策の影響: ActiveX コントロールおよびアクティブ スクリプトをブロックすると、別の影響があります。インターネットまたはイントラネット上の多くの Web サイトはActiveX またはアクティブ スクリプトを使用して、追加の機能を提供します。たとえば、オンラインの電子商取引またはオンライン バンキング サイトには ActiveX コントロールを使用して、メニュー、注文書、計算書などを提供しているものもあります。ActiveX コントロールまたはアクティブ スクリプトのブロックはグローバル設定であり、すべてのインターネットおよびイントラネット サイトに影響を及ぼします。ActiveX コントロールおよびアクティブ スクリプトをこれらの Web サイトでブロックしたくない場合、「信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する」で説明されているステップを行ってください。

  信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する

  インターネット ゾーンおよびローカル イントラネット ゾーンで ActiveX コントロールおよびアクティブ スクリプトをブロックするように設定後、信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加できます。これにより、信頼されていない Web サイトからの攻撃を防ぎながら、現在とまったく同じ様に、信頼する Web サイトを引き続き使用できます。マイクロソフトは信頼できる Web サイトのみを [信頼済み] サイト ゾーンに追加することを推奨します。

  これを行うためには、次のステップを実行します。

  1. Internet Explorer で [ツール] をクリックし、[インターネット オプション] をクリックします。次に [セキュリティ] タブをクリックします。
  2. [Web コンテンツのゾーンを選択してセキュリティのレベルを設定する] で、[信頼済みサイト] をクリックし、次に [サイト] をクリックします。
  3. 暗号化されたチャネルを必要としない Web サイトを追加したい場合、[このゾーンのサイトにはすべてサーバーの確認 (https:) を必要とする] のチェック ボックスをクリックし、チェックを外します。
  4. [次の Web サイトをゾーンに追加する] で、信頼する Web サイトの URL を入力し、次に [追加] ボタンをクリックします。
  5. ゾーンに追加したい各 Web サイトについて、これらのステップを繰り返します。
  6. [OK] を 2 回クリックし、変更を許可し、Internet Explorer に戻ります。

  注: システムで悪質な動作が行われないと信頼できるすべてのサイトを追加します。特に追加すべき 2 つの Web サイトは *.windowsupdate.microsoft.com および *.update.microsoft.com です。これらはセキュリティ更新プログラムをホストする Web サイトで、セキュリティ更新プログラムのインストールには ActiveX コントロールが必要です。

• インターネットおよびイントラネット ゾーンで、アクティブ スクリプトの実行前にダイアログを表示するように Internet Explorer を構成する、または アクティブ スクリプトを無効にするよう構成する

  インターネットおよびローカルのイントラネット セキュリティ ゾーンでアクティブ スクリプトが実行される前にダイアログが表示されるように設定を変更、またはアクティブ スクリプトを無効にするよう設定を変更することにより、この脆弱性の悪用を防ぐ手助けを行うことができます。これを行うためには、次のステップを実行します。

  1. Internet Explorer で、[ツール] メニューから [インターネット オプション] をクリックします。
  2. [セキュリティ] タブをクリックします。
  3. [インターネット] のアイコンをクリックし、次に [レベルのカスタマイズ] ボタンをクリックします。
  4. [設定] の [スクリプト] セクションの [アクティブ スクリプト] で [ダイアログを表示する] または [無効にする] をクリックします。次に [OK] をクリックします。
  5. [イントラネット] をクリックし、[レベルのカスタマイズ] をクリックします。
  6. [設定] の [スクリプト] セクションの [アクティブ スクリプト] で [ダイアログを表示する] または [無効にする] をクリックします。次に [OK] をクリックします。
  7. [OK] を 2 回クリックし、Internet Explorer に戻ります。

  注: インターネットおよびイントラネットのセキュリティ ゾーンでアクティブ スクリプトを無効にすると、Web サイトが正しく動作しなくなる場合があります。この設定の変更後、Web サイトの使用が困難になり、そのサイトが安全だと確信できる場合は、そのサイトを [信頼済みサイト] に追加できます。これにより、その Web サイトは正しく動作するようになります。

  回避策の影響: アクティブ スクリプトの実行前にダイアログを表示すると、別の影響があります。インターネットまたはイントラネット上の多くの Web サイトはアクティブ スクリプトを使用して、追加の機能を提供しています。たとえば、オンラインの電子商取引またはオンライン バンキング サイトにはアクティブ スクリプトを使用して、メニュー、注文書、計算書などを提供しているものもあります。アクティブ スクリプトの実行前にダイアログを表示する設定はグローバル設定であり、すべてのインターネットおよびイントラネット サイトに影響を及ぼします。この回避策を行うと、ダイアログが頻繁に表示されます。訪問している Web サイトが信頼できる場合、各ダイアログ表示で [はい] をクリックしてアクティブ スクリプトを実行してください。これらのすべての Web サイトでダイアログ表示が必要ない場合、「信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する」で説明されているステップを行ってください。

  信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する

  インターネット ゾーンおよびローカル イントラネット ゾーンで ActiveX コントロールおよびアクティブ スクリプトの実行前にダイアログを表示するように設定した後、信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加できます。これにより、信頼されていない Web サイトからの攻撃を防ぎながら、現在とまったく同じ様に、信頼する Web サイトを引き続き使用できます。マイクロソフトは信頼できる Web サイトのみを [信頼済み] サイト ゾーンに追加することを推奨します。

  これを行うためには、次のステップを実行します。

  1. Internet Explorer で [ツール] をクリックし、[インターネット オプション] をクリックします。次に [セキュリティ] タブをクリックします。
  2. [Web コンテンツのゾーンを選択してセキュリティのレベルを設定する] で、[信頼済みサイト] をクリックし、次に [サイト] をクリックします。
  3. 暗号化されたチャネルを必要としない Web サイトを追加したい場合、[このゾーンのサイトにはすべてサーバーの確認 (https:) を必要とする] のチェック ボックスをクリックし、チェックを外します。
  4. [次の Web サイトをゾーンに追加する] で、信頼する Web サイトの URL を入力し、次に [追加] ボタンをクリックします。
  5. ゾーンに追加したい各 Web サイトについて、これらのステップを繰り返します。
  6. [OK] を 2 回クリックし、変更を許可し、Internet Explorer に戻ります。

  注: システムで悪質な動作が行われないと信頼できるすべてのサイトを追加します。特に追加すべき 2 つの Web サイトは *.windowsupdate.microsoft.com および *.update.microsoft.com です。これらはセキュリティ更新プログラムをホストする Web サイトで、セキュリティ更新プログラムのインストールには ActiveX コントロールが必要です。

どのようなことが起こる可能性がありますか?
これはリモートでコードが実行される脆弱性です。攻撃者がこの脆弱性を悪用した場合、ログオンしたユーザーと同じユーザー権限を取得する可能性があります。システムでユーザー権限が低い設定のアカウントを持つユーザーは、管理者ユーザー権限で実行しているユーザーよりも、この脆弱性による影響が少ないと考えられます。

何が原因で起こりますか?
Internet Explorer が初期化されていないオブジェクト、または削除されたオブジェクトにアクセスしようとした場合、メモリが破損し、攻撃者によりログオンしているユーザーのコンテキストで任意のコードが実行される可能性があります。

この脆弱性により、攻撃者は何を行う可能性がありますか?
攻撃者がこの脆弱性を悪用した場合、ログオンしたユーザーと同じ権限を取得する可能性があります。ユーザーが管理者ユーザー権限でログオンしている場合、攻撃者が影響を受けるシステムを完全に制御する可能性があります。その後、攻撃者はプログラムのインストール、データの表示、変更、削除、または完全なユーザー権限を持つ新たなアカウントを作成する可能性があります。

攻撃者はこの脆弱性をどのように悪用する可能性がありますか?
攻撃者は、Internet Explorer を介してこの脆弱性を悪用するように特別に細工した Web サイトをホストし、ユーザーを誘導してその Web サイトを表示させる可能性があります。また、攻撃者は IE のレンダリング エンジンをホストするアプリケーションまたは Microsoft Office 文書に「安全な初期化」とマークされている ActiveX コントロールを埋め込む可能性があります。また、攻撃者は侵害された Web サイトおよびユーザーが提供したコンテンツや広告を受け入れるまたはホストする Web サイトを利用する可能性があります。これらの Web サイトには、この脆弱性を悪用する可能性のある特別に細工されたコンテンツが含まれている場合があります。しかし、すべての場合において、強制的にユーザーに攻撃者が制御するコンテンツを表示させることはできません。その代わり、ユーザーに操作を行わせることが攻撃者にとっての必要条件となります。一般的には、ユーザーに電子メール メッセージまたはインスタント メッセンジャーのメッセージのリンクをクリックさせ、攻撃者の Web サイトへ誘導します。または、電子メールにより送信された添付ファイルを開かせようとします。

主にどのようなコンピューターがこの脆弱性による危険にさらされますか?
この脆弱性により、悪意のある動作が起こるには、ユーザーがログオンし、Web サイトを訪問することが攻撃者にとっての必要条件となります。このため、ワークステーションまたはターミナル サーバーなど、Internet Explorer を頻繁に使用するコンピューターが、最もこの脆弱性の危険にさらされる可能性があります。

Windows Server 2003、Windows Server 2008 または Windows Server 2008 R2 用の Internet Explorer を実行している場合、この脆弱性の影響は緩和されますか?
はい。既定で、Windows Server 2003、Windows Server 2008 および Windows Server 2008 R2 上の Internet Explorer は、「セキュリティ強化の構成」と呼ばれる制限されたモードで実行されます。セキュリティ強化の構成は、Internet Explorer で事前に設定され、ユーザーまたは管理者が特別に細工された Web コンテンツをサーバーにダウンロードし、実行する危険性を低減します。これは、Internet Explorer の信頼済みサイト ゾーンに追加していない Web サイトに対する「緩和する要素」に該当します。

この更新プログラムはどのように問題を修正しますか?
この更新プログラムは、Intenet Explorer がメモリのオブジェクトを処理する方法を変更することにより、この脆弱性を排除します。

このセキュリティ情報のリリース時に、この脆弱性は一般に公開されていましたか?
いいえ。マイクロソフトは協調的な脆弱性の公開により、この脆弱性に関する情報を受けました。

このセキュリティ情報の公開時に、マイクロソフトはこの脆弱性が悪用されたという報告を受けていましたか?
いいえ。マイクロソフトは、このセキュリティ情報が最初に公開された際に、この脆弱性が一般で悪用され、お客様が攻撃されていたことを示す情報を受けていませんでした。

「問題を緩和する要素」とは、設定、一般的な構成または一般的な最善策、既定の状態により、脆弱性の悪用の深刻度が低くなる可能性がある要素を指します。次の「問題を緩和する要素」は、お客様の環境で役立つ場合があります。

• Web ベースの攻撃シナリオでは、攻撃者は Internet Explorer を介して、この脆弱性の悪用するために特別に細工した Web サイトをホストし、ユーザーにその Web サイトを閲覧するように誘導する可能性があります。また、攻撃者は IE のレンダリング エンジンをホストするアプリケーションまたは Microsoft Office 文書に「安全な初期化」とマークされている ActiveX コントロールを埋め込む可能性があります。また、攻撃者は侵害された Web サイトおよびユーザーが提供したコンテンツや広告を受け入れるまたはホストする Web サイトを利用する可能性があります。これらの Web サイトには、この脆弱性を悪用する可能性のある特別に細工されたコンテンツが含まれている場合があります。しかし、すべての場合において、強制的にユーザーに攻撃者が制御するコンテンツを表示させることはできません。その代わり、ユーザーに操作を行わせることが攻撃者にとっての必要条件となります。一般的には、ユーザーに電子メール メッセージまたはインスタント メッセンジャーのメッセージのリンクをクリックさせ、攻撃者の Web サイトへ誘導します。または、電子メールにより送信された添付ファイルを開かせようとします。
• 攻撃者がこの脆弱性を悪用した場合、ログオンしたユーザーと同じユーザー権限を取得する可能性があります。システムでユーザー権限が低い設定のアカウントを持つユーザーは、管理者ユーザー権限で実行しているユーザーよりも、この脆弱性による影響が少ないと考えられます。

回避策は、設定または構成の変更を示しており、基本的な脆弱性を正すものではありませんが、更新プログラムを適用する前に既知の攻撃方法を阻止するのに役立ちます。マイクロソフトは、以下の回避策を検証し、この回避策が機能性を低下させるかどうかについて、説明の部分で述べています。

• インターネットおよびローカル イントラネット セキュリティ ゾーンの設定を「高」に設定し、これらのゾーンで ActiveX コントロールおよびアクティブ スクリプトをブロックする

  インターネット セキュリティ ゾーンの設定を変更し、ActiveX コントロールおよびアクティブ スクリプトをブロックすることは、この脆弱性の悪用を防ぐのに役立ちます。これには、ブラウザーのセキュリティ設定を「高」に設定して実行します。

  Internet Explorer のブラウザーのセキュリティ レベルを上げるには、以下のステップを実行してください。

  1. Internet Explorer の [ツール] メニューの [インターネット オプション] をクリックします。
  2. [インターネット オプション] ダイアログ ボックスで、[セキュリティ] タブをクリックし、次に [インターネット] アイコンをクリックします。
  3. [このゾーンのセキュリティのレベル] の下のスライダーのつまみを「高」まで移動させます。これにより、訪問するすべての Web サイトのセキュリティ レベルが「高」に設定されます。

  注: スライダーが表示されていない場合、[既定のレベル] ボタンをクリックし、次にスライダーを「高」に移動させます。

  注: セキュリティ レベルを「高」に設定すると、Web サイトが正しく動作しない場合があります。この設定の変更後、Web サイトの使用が困難になり、そのサイトが安全だと確信できる場合は、そのサイトを [信頼済みサイト] に追加できます。これにより、セキュリティが「高」に設定されていても、そのサイトが適切に実行されます。

  回避策の影響: ActiveX コントロールおよびアクティブ スクリプトをブロックすると、別の影響があります。インターネットまたはイントラネット上の多くの Web サイトはActiveX またはアクティブ スクリプトを使用して、追加の機能を提供します。たとえば、オンラインの電子商取引またはオンライン バンキング サイトには ActiveX コントロールを使用して、メニュー、注文書、計算書などを提供しているものもあります。ActiveX コントロールまたはアクティブ スクリプトのブロックはグローバル設定であり、すべてのインターネットおよびイントラネット サイトに影響を及ぼします。ActiveX コントロールおよびアクティブ スクリプトをこれらの Web サイトでブロックしたくない場合、「信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する」で説明されているステップを行ってください。

  信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する

  インターネット ゾーンおよびローカル イントラネット ゾーンで ActiveX コントロールおよびアクティブ スクリプトをブロックするように設定後、信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加できます。これにより、信頼されていない Web サイトからの攻撃を防ぎながら、現在とまったく同じ様に、信頼する Web サイトを引き続き使用できます。マイクロソフトは信頼できる Web サイトのみを [信頼済み] サイト ゾーンに追加することを推奨します。

  これを行うためには、次のステップを実行します。

  1. Internet Explorer で [ツール] をクリックし、[インターネット オプション] をクリックします。次に [セキュリティ] タブをクリックします。
  2. [Web コンテンツのゾーンを選択してセキュリティのレベルを設定する] で、[信頼済みサイト] をクリックし、次に [サイト] をクリックします。
  3. 暗号化されたチャネルを必要としない Web サイトを追加したい場合、[このゾーンのサイトにはすべてサーバーの確認 (https:) を必要とする] のチェック ボックスをクリックし、チェックを外します。
  4. [次の Web サイトをゾーンに追加する] で、信頼する Web サイトの URL を入力し、次に [追加] ボタンをクリックします。
  5. ゾーンに追加したい各 Web サイトについて、これらのステップを繰り返します。
  6. [OK] を 2 回クリックし、変更を許可し、Internet Explorer に戻ります。

  注: システムで悪質な動作が行われないと信頼できるすべてのサイトを追加します。特に追加すべき 2 つの Web サイトは *.windowsupdate.microsoft.com および *.update.microsoft.com です。これらはセキュリティ更新プログラムをホストする Web サイトで、セキュリティ更新プログラムのインストールには ActiveX コントロールが必要です。

• インターネットおよびイントラネット ゾーンで、アクティブ スクリプトの実行前にダイアログを表示するように Internet Explorer を構成する、または アクティブ スクリプトを無効にするよう構成する

  インターネットおよびローカルのイントラネット セキュリティ ゾーンでアクティブ スクリプトが実行される前にダイアログが表示されるように設定を変更、またはアクティブ スクリプトを無効にするよう設定を変更することにより、この脆弱性の悪用を防ぐ手助けを行うことができます。これを行うためには、次のステップを実行します。

  1. Internet Explorer で、[ツール] メニューから [インターネット オプション] をクリックします。
  2. [セキュリティ] タブをクリックします。
  3. [インターネット] のアイコンをクリックし、次に [レベルのカスタマイズ] ボタンをクリックします。
  4. [設定] の [スクリプト] セクションの [アクティブ スクリプト] で [ダイアログを表示する] または [無効にする] をクリックします。次に [OK] をクリックします。
  5. [イントラネット] をクリックし、[レベルのカスタマイズ] をクリックします。
  6. [設定] の [スクリプト] セクションの [アクティブ スクリプト] で [ダイアログを表示する] または [無効にする] をクリックします。次に [OK] をクリックします。
  7. [OK] を 2 回クリックし、Internet Explorer に戻ります。

  注: インターネットおよびイントラネットのセキュリティ ゾーンでアクティブ スクリプトを無効にすると、Web サイトが正しく動作しなくなる場合があります。この設定の変更後、Web サイトの使用が困難になり、そのサイトが安全だと確信できる場合は、そのサイトを [信頼済みサイト] に追加できます。これにより、その Web サイトは正しく動作するようになります。

  回避策の影響: アクティブ スクリプトの実行前にダイアログを表示すると、別の影響があります。インターネットまたはイントラネット上の多くの Web サイトはアクティブ スクリプトを使用して、追加の機能を提供しています。たとえば、オンラインの電子商取引またはオンライン バンキング サイトにはアクティブ スクリプトを使用して、メニュー、注文書、計算書などを提供しているものもあります。アクティブ スクリプトの実行前にダイアログを表示する設定はグローバル設定であり、すべてのインターネットおよびイントラネット サイトに影響を及ぼします。この回避策を行うと、ダイアログが頻繁に表示されます。訪問している Web サイトが信頼できる場合、各ダイアログ表示で [はい] をクリックしてアクティブ スクリプトを実行してください。これらのすべての Web サイトでダイアログ表示が必要ない場合、「信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する」で説明されているステップを行ってください。

  信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する

  インターネット ゾーンおよびローカル イントラネット ゾーンで ActiveX コントロールおよびアクティブ スクリプトの実行前にダイアログを表示するように設定した後、信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加できます。これにより、信頼されていない Web サイトからの攻撃を防ぎながら、現在とまったく同じ様に、信頼する Web サイトを引き続き使用できます。マイクロソフトは信頼できる Web サイトのみを [信頼済み] サイト ゾーンに追加することを推奨します。

  これを行うためには、次のステップを実行します。

  1. Internet Explorer で [ツール] をクリックし、[インターネット オプション] をクリックします。次に [セキュリティ] タブをクリックします。
  2. [Web コンテンツのゾーンを選択してセキュリティのレベルを設定する] で、[信頼済みサイト] をクリックし、次に [サイト] をクリックします。
  3. 暗号化されたチャネルを必要としない Web サイトを追加したい場合、[このゾーンのサイトにはすべてサーバーの確認 (https:) を必要とする] のチェック ボックスをクリックし、チェックを外します。
  4. [次の Web サイトをゾーンに追加する] で、信頼する Web サイトの URL を入力し、次に [追加] ボタンをクリックします。
  5. ゾーンに追加したい各 Web サイトについて、これらのステップを繰り返します。
  6. [OK] を 2 回クリックし、変更を許可し、Internet Explorer に戻ります。

  注: システムで悪質な動作が行われないと信頼できるすべてのサイトを追加します。特に追加すべき 2 つの Web サイトは *.windowsupdate.microsoft.com および *.update.microsoft.com です。これらはセキュリティ更新プログラムをホストする Web サイトで、セキュリティ更新プログラムのインストールには ActiveX コントロールが必要です。

どのようなことが起こる可能性がありますか?
これはリモートでコードが実行される脆弱性です。攻撃者がこの脆弱性を悪用した場合、ログオンしたユーザーと同じユーザー権限を取得する可能性があります。システムでユーザー権限が低い設定のアカウントを持つユーザーは、管理者ユーザー権限で実行しているユーザーよりも、この脆弱性による影響が少ないと考えられます。

何が原因で起こりますか?
Internet Explorer が初期化されていないオブジェクト、または削除されたオブジェクトにアクセスしようとした場合、メモリが破損し、攻撃者によりログオンしているユーザーのコンテキストで任意のコードが実行される可能性があります。

この脆弱性により、攻撃者は何を行う可能性がありますか?
攻撃者がこの脆弱性を悪用した場合、ログオンしたユーザーと同じ権限を取得する可能性があります。ユーザーが管理者ユーザー権限でログオンしている場合、攻撃者が影響を受けるシステムを完全に制御する可能性があります。その後、攻撃者はプログラムのインストール、データの表示、変更、削除、または完全なユーザー権限を持つ新たなアカウントを作成する可能性があります。

攻撃者はこの脆弱性をどのように悪用する可能性がありますか?
攻撃者は、Internet Explorer を介してこの脆弱性を悪用するように特別に細工した Web サイトをホストし、ユーザーを誘導してその Web サイトを表示させる可能性があります。また、攻撃者は IE のレンダリング エンジンをホストするアプリケーションまたは Microsoft Office 文書に「安全な初期化」とマークされている ActiveX コントロールを埋め込む可能性があります。また、攻撃者は侵害された Web サイトおよびユーザーが提供したコンテンツや広告を受け入れるまたはホストする Web サイトを利用する可能性があります。これらの Web サイトには、この脆弱性を悪用する可能性のある特別に細工されたコンテンツが含まれている場合があります。しかし、すべての場合において、強制的にユーザーに攻撃者が制御するコンテンツを表示させることはできません。その代わり、ユーザーに操作を行わせることが攻撃者にとっての必要条件となります。一般的には、ユーザーに電子メール メッセージまたはインスタント メッセンジャーのメッセージのリンクをクリックさせ、攻撃者の Web サイトへ誘導します。または、電子メールにより送信された添付ファイルを開かせようとします。

主にどのようなコンピューターがこの脆弱性による危険にさらされますか?
この脆弱性により、悪意のある動作が起こるには、ユーザーがログオンし、Web サイトを訪問することが攻撃者にとっての必要条件となります。このため、ワークステーションまたはターミナル サーバーなど、Internet Explorer を頻繁に使用するコンピューターが、最もこの脆弱性の危険にさらされる可能性があります。

この更新プログラムはどのように問題を修正しますか?
この更新プログラムは、Intenet Explorer がメモリのオブジェクトを処理する方法を変更することにより、この脆弱性を排除します。

このセキュリティ情報のリリース時に、この脆弱性は一般に公開されていましたか?
いいえ。マイクロソフトは協調的な脆弱性の公開により、この脆弱性に関する情報を受けました。

このセキュリティ情報の公開時に、マイクロソフトはこの脆弱性が悪用されたという報告を受けていましたか?
いいえ。マイクロソフトは、このセキュリティ情報が最初に公開された際に、この脆弱性が一般で悪用され、お客様が攻撃されていたことを示す情報を受けていませんでした。

参照表

次の表には、このソフトウェアのセキュリティ更新プログラムに関する情報が含まれています。追加情報については、このセクションのサブセクション「展開に関する情報」をご覧ください。

注: Windows XP Professional x64 Edition のサポートされているバージョンでは、このセキュリティ更新プログラムは Windows Server 2003 x64 Edition のサポートされているバージョンのセキュリティ更新プログラムと同じです。

参照表

次の表には、このソフトウェアのセキュリティ更新プログラムに関する情報が含まれています。追加情報については、このセクションのサブセクション「展開に関する情報」をご覧ください。

参照表

次の表には、このソフトウェアのセキュリティ更新プログラムに関する情報が含まれています。追加情報については、このセクションのサブセクション「展開に関する情報」をご覧ください。

参照表

次の表には、このソフトウェアのセキュリティ更新プログラムに関する情報が含まれています。追加情報については、このセクションのサブセクション「展開に関する情報」をご覧ください。

参照表

次の表には、このソフトウェアのセキュリティ更新プログラムに関する情報が含まれています。追加情報については、このセクションのサブセクション「展開に関する情報」をご覧ください。

参照表

次の表には、このソフトウェアのセキュリティ更新プログラムに関する情報が含まれています。追加情報については、このセクションのサブセクション「展開に関する情報」をご覧ください。