このセキュリティ更新プログラムは、Visual Studio で非公開で報告された 1 つの脆弱性を解決します。 この脆弱性により、攻撃者が Visual Studio で使用されるパスに特別に細工されたアドインを配置し、より高い特権を持つユーザーに Visual Studio を起動するよう誘導した場合、特権が昇格される可能性があります。 攻撃者がこの脆弱性を悪用するには、有効なログオン資格情報を持ち、ローカルでログオンできる必要があります。 この脆弱性は、リモートまたは匿名ユーザーによって悪用される可能性はありません。
このセキュリティ更新プログラムは、Microsoft Visual Studio 2008 および Microsoft Visual Studio 2010 でサポートされているすべてのエディションで重要と評価されます。 詳細については、このセクションの「影響を受けるソフトウェア」および「影響を受けるソフトウェア」のサブセクションを参照してください。
このセキュリティ更新プログラムは、アドインの読み込み先を Visual Studio で制限する方法を修正することで、この脆弱性を解決します。 この脆弱性の詳細については、次のセクション 「脆弱性情報」の下にある特定の脆弱性エントリについてよく寄せられる質問 (FAQ) サブセクションを参照してください。
Visual Studio 内からのアドインの読み込みが安全でないため、特権の昇格の脆弱性が Visual Studio に存在します。 攻撃者がこの脆弱性を悪用した場合、昇格された特権で任意のコードを実行する可能性があります。 このような攻撃者はプログラムをインストールしたり、データの閲覧、変更、削除を行ったり、完全なユーザー権限を持つ新しいアカウントを作成したりできるようになります。
この脆弱性の原因は何ですか?
この脆弱性は、Visual Studio が安全でないファイルの場所からアドインを読み込むことで発生します。
Visual Studioアドインとは
Visual Studio アドインは、対話型開発環境 (IDE) をカスタマイズおよび自動化するための機能拡張インターフェイスを Visual Studio 内に実装します。 開発者は、生産性を向上させるために Visual Studio IDE を自動化することを選択します。 開発者がますます多くのアプリケーションを作成するにつれて、冗長なプロジェクトのセットアップと構成を行う時間が増える可能性があります。 アドインは、開発者が冗長性を排除し、コア開発タスクに集中できるようにするのに役立ちます。 開発者は、アドイン、マクロ、テンプレートの組み合わせを使用して、この日常的な一連の手順をプロセスから除外できます。 Visual Studio アドインの詳細については、MSDN の記事 「Visual Studio アドインの作成」を参照してください。
攻撃者がこの脆弱性を悪用する方法
この脆弱性を悪用するには、まず攻撃者がシステムにログオンする必要があります。 その後、攻撃者は、Visual Studio で使用されるパスに特別に細工されたアドインを配置する可能性があります。 管理者が Visual Studio を起動すると、特別に細工されたアドインが管理者と同じ特権で読み込まれます。
どのシステムが主に脆弱性のリスクにさらされていますか?
ワークステーションやターミナル サーバーなど、Microsoft Visual Studio が開発に使用されるシステムは、主に危険にさらされます。 管理者がユーザーにサーバーへのログオンとプログラムの実行を許可すると、サーバーのリスクが高くなります。 ただし、ベスト プラクティスではこれを許可しないことを強くお勧めします。
更新プログラムは何を行いますか?
この更新プログラムは、アドインが読み込まれる場所を Visual Studio が制限する方法を修正することで、この脆弱性を解決します。
このセキュリティ情報が発行されたとき、この脆弱性は一般に公開されていましたか?
いいえ。 Microsoft は、調整された脆弱性の開示を通じて、この脆弱性に関する情報を受け取りました。
組織内のサーバー、デスクトップ、モバイル システムに展開するために必要なソフトウェアとセキュリティの更新プログラムを管理します。 詳細については、TechNet Update Management Center を参照してください。 Microsoft TechNet セキュリティ Web サイトには、Microsoft 製品のセキュリティに関する追加情報が記載されています。
注: MB (メガバイト)SA、Microsoft Update、および Windows Server Update Services の最新リリースでサポートされていないレガシ ソフトウェアを使用しているお客様は、Microsoft Baseline Security Analyzer にアクセスし、レガシ ツールを使用して包括的なセキュリティ更新プログラムの検出を作成する方法に関するレガシ製品サポート セクションを参照してください。
Windows Server Update Services
Windows Server Update Services (WSUS) を使用すると、情報技術管理者は、Windows オペレーティング システムを実行しているコンピューターに最新の Microsoft 製品更新プログラムを展開できます。 Windows Server Update Services を使用してセキュリティ更新プログラムを展開する方法の詳細については、TechNet の記事 「Windows Server Update Services」を参照してください。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\更新\Microsoft Visual Studio Team System 2008 Team Suite - ENU\SP1\KB (キロバイト)2669970\ "ThisVersionInstalled" = REG_SZ:"Y"
i - Status messages\ w - Nonfatal warnings\ e - All error messages\ a - Start up of actions\ r - Action-specific records\ u - User requests\ c - Initial UI parameters\ m - Out-of-memory or fatal exit information\ o - Out-of-disk-space messages\ p - Terminal properties\ v - Verbose output\ x - Extra debugging information\ + - Append to existing log file\ ! - 各行を log\ * にフラッシュする - v オプションと x オプションを除くすべての情報をログに記録する
/log <LogFile>
/l* <LogFile と同等>
/sendreport
この更新プログラムのインストール データを Watson レポートとして Microsoft に送信します。 個人を特定できる情報は送信されません。
Microsoft Visual Studio 2010:\ については、Microsoft サポート技術情報の記事2644980を参照してください
Microsoft Visual Studio 2010 Service Pack 1:\ については、Microsoft サポート技術情報の記事2645410を参照してください
レジストリ キーの検証
Microsoft Visual Studio 2010:\ HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\更新\Microsoft Visual Studio Team System 2010 Team Suite - ENU\KB (キロバイト)2644980\ "ThisVersionInstalled" = REG_SZ:"Y"
Microsoft Visual Studio 2010 Service Pack 1:\ HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\更新\Microsoft Visual Studio Team System 2010 Team Suite - ENU\SP1\KB (キロバイト)2645410\ "ThisVersionInstalled" = REG_SZ:"Y"
i - Status messages\ w - Nonfatal warnings\ e - All error messages\ a - Start up of actions\ r - Action-specific records\ u - User requests\ c - Initial UI parameters\ m - Out-of-memory or fatal exit information\ o - Out-of-disk-space messages\ p - Terminal properties\ v - Verbose output\ x - Extra debugging information\ + - Append to existing log file\ ! - 各行を log\ * にフラッシュする - v オプションと x オプションを除くすべての情報をログに記録する
/log <LogFile>
/l* <LogFile と同等>
/sendreport
この更新プログラムのインストール データを Watson レポートとして Microsoft に送信します。 個人を特定できる情報は送信されません。
海外のお客様は、現地の Microsoft 子会社からサポートを受けることができます。 サポートの問題について Microsoft に問い合わせる方法の詳細については、国際サポート Web サイトを参照してください。
免責情報
Microsoft サポート技術情報で提供される情報は、いかなる種類の保証もなく"現状のまま" 提供されます。 Microsoft は、商品性と特定の目的に対する適合性の保証を含め、明示または黙示を問わず、すべての保証を放棄します。 Microsoft Corporation またはそのサプライヤーは、Microsoft Corporation またはそのサプライヤーがこのような損害の可能性について通知された場合でも、直接的、間接的、付随的、派生的、ビジネス上の利益の損失、または特別な損害を含む一切の損害について一切の責任を負いません。 一部の州では、派生的損害または付随的損害に対する責任の除外または制限が認められていないため、前述の制限は適用されない場合があります。