セキュリティ情報

Microsoft セキュリティ情報 MS13-042 - 重要

公開日: 2013 年 5 月 14 日

バージョン: 1.0

このセキュリティ更新プログラムは、Microsoft Office で非公開で報告された 11 件の脆弱性を解決します。 この脆弱性により、ユーザーが影響を受けるバージョンの Microsoft Publisher で特別に細工された Publisher ファイルを開いた場合に、リモートでコードが実行される可能性があります。 攻撃者がこれらの脆弱性を悪用した場合、現在のユーザーと同じユーザー権限を取得する可能性があります。 システム上でアカウントのユーザー権限が少なく構成されているユーザーは、管理ユーザー権限で作業するユーザーに比べて、受ける影響は少ない可能性があります。

このセキュリティ更新プログラムは、Microsoft Publisher 2003、Microsoft Publisher 2007、および Microsoft Publisher 2010 のサポートされているエディションで重要と評価されます。 詳細については、このセクションの「影響を受けるソフトウェア」および「影響を受けるソフトウェア」のサブセクションを参照してください。

このセキュリティ更新プログラムは、Microsoft Publisher が特別に細工された Publisher ファイルを解析する方法を修正することで、この脆弱性を解決します。 脆弱性の詳細については、次のセクション 「脆弱性情報」の下にある特定の脆弱性エントリについてよく寄せられる質問 (FAQ) サブセクションを参照してください。

推奨。 お客様は、Microsoft Update サービスを使用して、Microsoft Update からの更新プログラムをオンラインでチェックするように自動更新を構成できます。 自動更新を有効にして、Microsoft Update から更新プログラムをオンラインでチェックするように構成されているお客様は、通常、このセキュリティ更新プログラムが自動的にダウンロードおよびインストールされるため、何も行う必要はありません。 自動更新を有効にしていないお客様は、Microsoft Update から更新プログラムをチェックし、この更新プログラムを手動でインストールする必要があります。 自動更新の特定の構成オプションについては、マイクロソフト サポート技術情報の記事294871を参照してください。

管理者と企業のインストール、またはこのセキュリティ更新プログラムを手動でインストールするエンド ユーザーの場合は、更新管理ソフトウェアを使用するか、Microsoft Update サービスを使用して更新プログラムをチェックして、できるだけ早い機会に更新プログラムを適用することをお勧めします。

このセキュリティ情報の後半の「検出と展開のツールとガイダンス」セクションも参照してください。

次のソフトウェアは、影響を受けるバージョンまたはエディションを特定するためにテストされています。 その他のバージョンまたはエディションは、サポート ライフサイクルを過ぎたか、影響を受けません。 ソフトウェアのバージョンまたはエディションのサポート ライフサイクルを確認するには、「Microsoft サポート ライフサイクル」を参照してください。

影響を受けるソフトウェア

Microsoft Office

影響を受けるソフトウェア以外のソフトウェア 

この更新プログラムは、報告された複数のセキュリティ脆弱性に対処する理由
この更新プログラムには、これらの問題に対処するために必要な変更が関連ファイルに含まれているため、いくつかの脆弱性のサポートが含まれています。

Microsoft Office スタンドアロン プログラムは、この脆弱性の影響を受けていますか?
Microsoft Office スタンドアロン プログラムは、Microsoft Office Suite の対応するコンポーネントと同じ重大度評価の影響を受けます。 たとえば、Microsoft Publisher のスタンドアロン インストールは、Microsoft Office Suite で提供された Microsoft Publisher のインストールと同じ重大度評価の影響を受けます。

この記事で説明する Microsoft Office コンポーネントは、システムにインストールした Microsoft Office Suite の一部ですが、この特定のコンポーネントをインストールすることを選択しませんでした。この更新プログラムは提供されますか?
はい。このセキュリティ情報で説明されているコンポーネントが、システムにインストールされている Microsoft Office Suite のバージョンと共に配信された場合、コンポーネントがインストールされているかどうかに関係なく、システムに対する更新プログラムが提供されます。 影響を受けるシステムのスキャンに使用される検出ロジックは、特定の Microsoft Office Suite で提供されたすべてのコンポーネントの更新プログラムをチェックし、システムに更新プログラムを提供するように設計されています。 インストールされていないコンポーネントに対して更新プログラムを適用しないことを選択したが、そのバージョンの Microsoft Office Suite で提供されているユーザーは、そのシステムのセキュリティ リスクを高めません。 一方、更新プログラムのインストールを選択したユーザーは、システムのセキュリティやパフォーマンスに悪影響を及ぼしません。

Microsoft Office の脆弱性のないバージョンを更新するオファーは、Microsoft 更新メカニズムの問題になりますか?
いいえ。 更新メカニズムは、更新プログラムが適用される製品バージョンの範囲内にあるシステム上の該当するソフトウェアの製品バージョンを検出し、更新プログラムを提供するという点で正しく機能しています。

このセキュリティ情報で説明されているソフトウェアの以前のリリースを使用しています。 どうすればよいですか。
このセキュリティ情報に記載されている影響を受けるソフトウェアは、影響を受けるリリースを特定するためにテストされています。 他のリリースはサポート ライフサイクルを過ぎている。 製品ライフサイクルの詳細については、Microsoft サポート ライフサイクル Web サイトを参照してください。

ソフトウェアの古いリリースをお持ちのお客様は、脆弱性にさらされる可能性を防ぐために、サポートされているリリースに移行することが優先されます。 ソフトウェア リリースのサポート ライフサイクルを決定するには、「ライフサイクル情報の製品を選択する」を参照してください。 これらのソフトウェア リリースのサービス パックの詳細については、「Service Pack ライフサイクル サポート ポリシー」を参照してください。

古いソフトウェアのカスタム サポートを必要とするお客様は、カスタム サポート オプションについて、Microsoft アカウント チームの担当者、テクニカル アカウント マネージャー、または適切な Microsoft パートナー担当者にお問い合わせください。 アライアンス、プレミア、または承認された契約を持たないお客様は、お住まいの地域の Microsoft 営業所にお問い合わせください。 連絡先情報については、Microsoft Worldwide Information Web サイトを参照し、[連絡先情報] リストで国を選択し、[移動] をクリックして電話番号の一覧を表示します。 お電話の際は、地元の Premier サポートセールスマネージャーにお問い合わせください。 詳細については、Microsoft サポート ライフサイクル ポリシーに関する FAQ を参照してください。

次の重大度評価は、脆弱性の潜在的な最大影響を想定しています。 このセキュリティ情報のリリースから 30 日以内に、脆弱性の重大度評価とセキュリティへの影響に関する脆弱性の悪用可能性の可能性については、5 月のセキュリティ情報の概要にある Exploitability Index を参照してください。 詳細については、「Microsoft Exploitability Index」を参照してください。

表: パート 1 (パート 2 の後に続く)

表: パート 2 (パート 1 から続く)

Microsoft Publisher が Publisher ファイルを解析する方法に、複数のリモート コード実行の脆弱性が存在します。 攻撃者がこれらの脆弱性のいずれかを悪用した場合、影響を受けるシステムが完全に制御される可能性があります。 このような攻撃者はプログラムをインストールしたり、データの閲覧、変更、削除を行ったり、完全なユーザー権限を持つ新しいアカウントを作成したりできるようになります。 システム上でアカウントのユーザー権限が少なく構成されているユーザーは、管理ユーザー権限で作業するユーザーに比べて、受ける影響は少ない可能性があります。

これらの脆弱性を一般的な脆弱性と露出の一覧の標準エントリとして表示するには、次の表のリンクをクリックします。

軽減策とは、既定の状態で存在する設定、一般的な構成、または一般的なベスト プラクティスを指します。これにより、脆弱性の悪用の重大度が低下する可能性があります。 次の軽減要因は、状況に役立つ場合があります。

• 攻撃者がこれらの脆弱性を悪用した場合、現在のユーザーと同じユーザー権限を取得する可能性があります。 システム上でアカウントのユーザー権限が少なく構成されているユーザーは、管理ユーザー権限で作業するユーザーに比べて、受ける影響は少ない可能性があります。
• これらの脆弱性は、電子メールを介して自動的に悪用されることはできません。 攻撃を成功させるには、ユーザーが電子メール メッセージで送信された添付ファイルを開く必要があります。
• Web ベースの攻撃シナリオでは、攻撃者はこれらの脆弱性の悪用に使用される Web ページを含む Web サイトをホストする可能性があります。 さらに、侵害された Web サイトや、ユーザーが提供するコンテンツまたは広告を受け入れる、またはホストする Web サイトには、これらの脆弱性を悪用する可能性のある特別に細工されたコンテンツが含まれる可能性があります。 ただし、いずれの場合も、攻撃者はユーザーにこれらの Web サイトへのアクセスを強制する方法はありません。 代わりに、攻撃者は、通常、ユーザーに電子メール メッセージまたはインスタント メッセンジャー メッセージ内のリンクをクリックさせ、ユーザーを攻撃者の Web サイトに誘導して、特別に細工された Publisher ファイルを開くよう誘導することで、Web サイトにアクセスするようにユーザーを誘導する必要があります。

回避策とは、基になる脆弱性を修正しないが、更新プログラムを適用する前に既知の攻撃ベクトルをブロックするのに役立つ設定または構成の変更を指します。 Microsoft は、回避策によって機能が低下するかどうかを説明する中で、次の回避策と状態をテストしました。

• 信頼されていないソースから受信した Publisher ファイルや、信頼できるソースから予期せず受信した Publisher ファイルを開かないでください。 これらの脆弱性は、ユーザーが特別に細工されたファイルを開いたときに悪用される可能性があります。

この脆弱性の範囲は何ですか? 
これらは、リモートでコードが実行される脆弱性です。

この脆弱性の原因は何ですか? 
これらの脆弱性は密接に関連していますが、その根本原因は次の表で詳細に示すように異なります。

攻撃者はこの脆弱性を使用して何を行う可能性がありますか? 
攻撃者がこれらの脆弱性を悪用した場合、現在のユーザーとして任意のコードを実行する可能性があります。 現在のユーザーが管理者権限でログオンしている場合、攻撃者は影響を受けるシステムを完全に制御する可能性があります。 このような攻撃者はプログラムをインストールしたり、データの閲覧、変更、削除を行ったり、完全なユーザー権限を持つ新しいアカウントを作成したりできるようになります。 システム上でアカウントのユーザー権限が少なく構成されているユーザーは、管理ユーザー権限で作業するユーザーに比べて、受ける影響は少ない可能性があります。

攻撃者はどのようにしてこの脆弱性を悪用する可能性がありますか? 
これらの脆弱性を利用するには、ユーザーが影響を受けるバージョンの Microsoft Publisher で特別に細工された Publisher ファイルを開く必要があります。

電子メール攻撃のシナリオでは、攻撃者は特別に細工された Publisher ファイルをユーザーに送信し、ユーザーにファイルを開くよう誘導することで、この脆弱性を悪用する可能性があります。

Web ベースの攻撃シナリオでは、攻撃者は、これらの脆弱性を悪用するために使用されるパブリッシャー ファイルを含む Web サイトをホストする必要があります。 さらに、侵害された Web サイトや、ユーザーが提供するコンテンツを受け入れる、またはホストする Web サイトには、これらの脆弱性を悪用する可能性がある特別に細工されたコンテンツが含まれている可能性があります。 攻撃者は、特別に細工された Web サイトをユーザーに強制的に訪問させる方法はありません。 代わりに、攻撃者は、通常、電子メール メッセージまたはインスタント メッセンジャー メッセージ内のリンクをクリックして攻撃者のサイトに誘導し、特別に細工された Publisher ファイルを開くよう誘導することで、Web サイトにアクセスするように誘導する必要があります。

どのシステムが主に脆弱性のリスクにさらされていますか? 
ワークステーションやターミナル サーバーなど、Microsoft Publisher が使用されているシステムは、主に危険にさらされます。 管理者がユーザーにサーバーへのログオンとプログラムの実行を許可すると、サーバーのリスクが高くなります。 ただし、ベスト プラクティスではこれを許可しないことを強くお勧めします。

更新プログラムは何を行いますか? 
この更新プログラムは、Microsoft Publisher が特別に細工された Publisher ファイルを解析する方法を修正することで、この脆弱性を解決します。

このセキュリティ情報が発行されたとき、これらの脆弱性は公開されていましたか?
いいえ。 Microsoft は、これらの脆弱性に関する情報を、調整された脆弱性の開示を通じて受け取りました。

このセキュリティ情報が発行されたとき、Microsoft はこれらの脆弱性が悪用されたという報告を受け取りましたか?
いいえ。 Microsoft は、このセキュリティ情報が最初に発行されたときに、これらの脆弱性が顧客を攻撃するために一般に使用されたことを示す情報を受け取っていませんでした。

管理者がセキュリティ更新プログラムをデプロイするのに役立つリソースがいくつかあります。 

• Microsoft Baseline Security Analyzer (MB (メガバイト)SA) を使用すると、管理者はローカル システムとリモート システムをスキャンして、不足しているセキュリティ更新プログラムや一般的なセキュリティ構成の誤りを確認できます。 
• Windows Server Update Services (WSUS)、Systems Management Server (SMS)、System Center Configuration Manager (SCCM) は、管理者がセキュリティ更新プログラムを配布するのに役立ちます。 
• Application Compatibility Toolkit に含まれる Update Compatibility Evaluator コンポーネントは、インストールされているアプリケーションに対する Windows 更新プログラムのテストと検証を合理化する上で役立ちます。 

これらのツールと、ネットワーク間でのセキュリティ更新プログラムの展開に関するガイダンスの詳細については、「IT 担当者向けセキュリティ ツール」を参照してください。 

影響を受けるソフトウェア

影響を受けるソフトウェアの特定のセキュリティ更新プログラムの詳細については、適切なリンクをクリックしてください。

参照テーブル

次の表に、このソフトウェアのセキュリティ更新プログラムの情報を示します。

参照テーブル

次の表に、このソフトウェアのセキュリティ更新プログラムの情報を示します。

参照テーブル

次の表に、このソフトウェアのセキュリティ更新プログラムの情報を示します。

Microsoft は、お客様を保護するために Microsoft と協力していただきありがとうございます。

• 複数の Microsoft Publisher のリモート コード実行の脆弱性 (CVE-2013-1316、CVE-2013-1317、CVE-2013-1318、CVE-2013-1319、 CVE-2013-1320、CVE-2013-1321、CVE-2013-1322、CVE-2013-1323、CVE-2013-1327、CVE-2013-1328、CVE-2013-1329)

お客様のセキュリティ保護を強化するために、Microsoft は、毎月のセキュリティ更新プログラムのリリースの前に、主要なセキュリティ ソフトウェア プロバイダーに脆弱性情報を提供します。 セキュリティ ソフトウェア プロバイダーは、この脆弱性情報を使用して、ウイルス対策、ネットワークベースの侵入検出システム、ホストベースの侵入防止システムなどのセキュリティ ソフトウェアまたはデバイスを介して、お客様に更新された保護を提供できます。 セキュリティ ソフトウェア プロバイダーからアクティブな保護を利用できるかどうかを判断するには、Microsoft Active Protections Program (MAPP) パートナーに記載されているプログラム パートナーによって提供されるアクティブな保護 Web サイトに移動してください。

このセキュリティ更新プログラムのヘルプとサポートを取得する方法

• 更新プログラムのインストールに関するヘルプ: Microsoft Update のサポート
• IT プロフェッショナル向けのセキュリティ ソリューション: TechNet セキュリティのトラブルシューティングとサポート
• ウイルスやマルウェアから Windows を実行しているコンピューターを保護する: ウイルス ソリューションとセキュリティ センター
• お住まいの国に応じた現地サポート: 国際サポート

Microsoft サポート技術情報で提供される情報は、いかなる種類の保証もなく"現状のまま" 提供されます。 Microsoft は、商品性と特定の目的に対する適合性の保証を含め、明示または黙示を問わず、すべての保証を放棄します。 Microsoft Corporation またはそのサプライヤーは、Microsoft Corporation またはそのサプライヤーがこのような損害の可能性について通知された場合でも、直接的、間接的、付随的、派生的、ビジネス上の利益の損失、または特別な損害を含む一切の損害について一切の責任を負いません。 一部の州では、派生的損害または付随的損害に対する責任の除外または制限が認められていないため、前述の制限は適用されない場合があります。

• V1.0 (2013 年 5 月 14 日): セキュリティ情報が公開されました。

ビルド日: 2014-04-18T13:49:36Z-07:00