2013 年 11 月の Microsoft セキュリティ情報の概要

公開日: 2013 年 11 月 12 日

バージョン: 1.0

このセキュリティ情報の概要は、2013 年 11 月にリリースされたセキュリティ情報の一覧です。

2013 年 11 月のセキュリティ情報のリリースに伴い、このセキュリティ情報の概要は、2013 年 11 月 7 日に発行された事前通知に代わるものです。 セキュリティ情報の事前通知サービスの詳細については、Microsoft セキュリティ情報の事前通知を参照してください。

Microsoft セキュリティ情報が発行されるたびに自動通知を受け取る方法については、Microsoft テクニカル セキュリティ通知を参照してください。

Microsoft は、2013 年 11 月 13 日午前 11 時 (太平洋時間) (米国およびカナダ) に関するお客様の質問に対処するための Web キャストをホストしています。 11 月のセキュリティ情報 Web キャストに今すぐ登録します。

また、Microsoft は、毎月のセキュリティ更新プログラムと同じ日にリリースされるセキュリティ以外の更新プログラムを使用して、毎月のセキュリティ更新プログラムに優先順位を付けるために役立つ情報も提供します。 「その他の情報」セクションを参照してください。

次の表は、今月のセキュリティ情報を重大度順にまとめたものです。

影響を受けるソフトウェアの詳細については、次のセクション 「影響を受けるソフトウェア」を参照してください。

次の表は、今月対処された各脆弱性の悪用可能性評価を示しています。 脆弱性は、セキュリティ情報 ID と CVE ID の順に一覧表示されます。 セキュリティ情報に含まれるのは、重大度レーティングが [重大] または [重要] である脆弱性のみです。

このテーブル操作方法使用しますか?

この表を使用して、セキュリティ情報のリリースから 30 日以内に、インストールが必要になる可能性がある各セキュリティ更新プログラムについて、コードの実行とサービス拒否の悪用の可能性について説明します。 特定の構成に従って、以下の各評価を確認して、今月の更新プログラムのデプロイに優先順位を付けます。 これらの評価の意味と決定方法の詳細については、Microsoft Exploitability Index を参照してください。

以下の列では、"最新のソフトウェア リリース" は対象ソフトウェアを指し、"古いソフトウェア リリース" は、このセキュリティ情報の「影響を受けるソフトウェア」および「影響を受けるソフトウェア以外のソフトウェア」の表に記載されているように、対象ソフトウェアのサポートされているすべての古いリリースを指します。

次の表に、主要なソフトウェア カテゴリと重大度の順にセキュリティ情報を示します。

これらのテーブル操作方法使用しますか?

これらのテーブルを使用して、インストールが必要になる可能性があるセキュリティ更新プログラムについて説明します。 一覧表示されている各ソフトウェア プログラムまたはコンポーネントを確認して、セキュリティ更新プログラムがインストールに関連しているかどうかを確認する必要があります。 ソフトウェア プログラムまたはコンポーネントが一覧表示されている場合は、ソフトウェア更新プログラムの重大度評価も一覧表示されます。

注: 1 つの脆弱性に対して複数のセキュリティ更新プログラムをインストールする必要がある場合があります。 システムにインストールしたプログラムまたはコンポーネントに基づいて、インストールする必要がある更新プログラムを確認するために一覧表示されている各セキュリティ情報識別子の列全体を確認します。

管理者がセキュリティ更新プログラムをデプロイするのに役立つリソースがいくつかあります。

• Microsoft Baseline Security Analyzer (MB (メガバイト)SA) を使用すると、管理者はローカル システムとリモート システムをスキャンして、不足しているセキュリティ更新プログラムや一般的なセキュリティ構成の誤りを確認できます。
• Windows Server Update Services (WSUS)、Systems Management Server (SMS)、System Center Configuration Manager は、管理者がセキュリティ更新プログラムを配布するのに役立ちます。
• Application Compatibility Toolkit に含まれる Update Compatibility Evaluator コンポーネントは、インストールされているアプリケーションに対する Windows 更新プログラムのテストと検証を合理化する上で役立ちます。

これらのツールと使用可能なその他のツールの詳細については、「IT 担当者向けのセキュリティ ツール」を参照してください。 

毎月第 2 火曜日に発生するセキュリティ情報リリースでは、Microsoft は、Windows Update、Microsoft Update、Windows Server Update Services、ダウンロード センターの Microsoft Windows 悪意のあるソフトウェア削除ツールの更新バージョンをリリースしました。 帯域外セキュリティ情報のリリースでは、Microsoft Windows 悪意のあるソフトウェア削除ツールの更新バージョンは利用できません。

Windows Update および Microsoft Update のセキュリティ以外のリリースについては、次を参照してください。

• Microsoft サポート技術情報の記事 894199: コンテンツのソフトウェア更新サービスと Windows Server Update Services の変更点について説明します。 すべての Windows コンテンツが含まれます。
• Windows Server Update Services の過去 1 か月間の更新。 Microsoft Windows 以外の Microsoft 製品の新しい更新プログラム、改訂された更新プログラム、および再リリースされた更新プログラムがすべて表示されます。

お客様のセキュリティ保護を強化するために、Microsoft は、毎月のセキュリティ更新プログラムのリリースの前に、主要なセキュリティ ソフトウェア プロバイダーに脆弱性情報を提供します。 セキュリティ ソフトウェア プロバイダーは、この脆弱性情報を使用して、ウイルス対策、ネットワークベースの侵入検出システム、ホストベースの侵入防止システムなどのセキュリティ ソフトウェアまたはデバイスを介して、お客様に更新された保護を提供できます。 セキュリティ ソフトウェア プロバイダーからアクティブな保護を利用できるかどうかを判断するには、Microsoft Active Protections Program (MAPP) パートナーに記載されているプログラム パートナーによって提供されるアクティブな保護 Web サイトを参照してください。

更新管理戦略

Update Management のセキュリティ ガイダンスには、セキュリティ更新プログラムを適用するための Microsoft のベスト プラクティスに関する推奨事項に関する追加情報が記載されています。

その他のセキュリティ 更新の取得

その他のセキュリティの問題の更新は、次の場所から入手できます。

• セキュリティ更新プログラムは、Microsoft ダウンロード センターから入手できます。 "セキュリティ更新プログラム" のキーワード (keyword)検索を実行すると、最も簡単に見つけることができます。
• コンシューマー プラットフォームの更新は、Microsoft Update。
• Windows Update で今月提供されるセキュリティ更新プログラムは、セキュリティおよびクリティカル リリース ISO CD イメージ ファイルのダウンロード センターから入手できます。 詳細については、マイクロソフト サポート技術情報の記事913086を参照してください。

IT プロフェッショナル セキュリティ コミュニティ

セキュリティを強化し、IT インフラストラクチャを最適化し、IT Pro Security Community のセキュリティ トピックに関する他の IT 担当者と参加する方法について説明します。

Microsoft は、お客様を保護するために Microsoft と協力していただきありがとうございます。

MS13-088

• Simon Zuckerbraun、HP のZero Day Initiative と協力して、インターネットエクスプローラーメモリ破損の脆弱性を報告する (CVE-2013-3871)
• インターネットエクスプローラー情報漏えいの脆弱性を報告する鬼怒川 正人 (CVE-2013-3908)
• インターネットエクスプローラー情報漏えいの脆弱性を報告するための Sergey Markov (CVE-2013-3909)
• Peter 'corelanc0d3r' Van Eeckhoutte of Corelan, working with HP'sZero Day Initiative, for reporting the Internet エクスプローラー Memory Corruption Vulnerability (CVE-2013-3910)
• Internet エクスプローラー Memory Corruption Vulnerability (CVE-2013-3911) を報告するために HPの Zero Day Initiative と連携する、Stephen Fewer of Harmony Security
• lokihardt@ASRT、HP のZero Day Initiative を使用して、インターネットエクスプローラーメモリ破損の脆弱性を報告します (CVE-2013-3912)
• 匿名の研究者。VeriSign iDefense Labs と協力して、インターネット エクスプローラーメモリ破損の脆弱性を報告しています (CVE-2013-3914)
• インターネットのエクスプローラーメモリ破損の脆弱性を報告するための Palo Alto Networks の Bo Qu (CVE-2013-3915)
• インターネットのエクスプローラーメモリ破損の脆弱性を報告するための Palo Alto Networks の Bo Qu (CVE-2013-3916)
• HPの Zero Day Initiative を使用して、インターネット エクスプローラーメモリ破損の脆弱性を報告する匿名の研究者 (CVE-2013-3917)
• インターネット エクスプローラー メモリ破損の脆弱性を報告するための Palo Alto Networks の Bo Qu (CVE-2013-3917)

MS13-089

• グラフィックス デバイス インターフェイスの整数オーバーフローの脆弱性を報告するための Secunia Research の Hossein Lotfi (CVE-2013-3940)

MS13-090

• InformationCardSigninHelper の脆弱性を報告するサイバー防衛研究所の ucq と福森 大樹 (CVE-2013-3918)
• InformationCardSigninHelper の脆弱性に関する iSIGHT パートナー の協力 (CVE-2013-3918)
• InformationCardSigninHelper の脆弱性に関する Microsoft と連携するための FireEye の Dan Caselden と Xiaobo Chen (CVE-2013-3918)

MS13-091

• WPD ファイル形式のメモリ破損の脆弱性を報告するための Merliton (CVE-2013-0082)
• Word Stack バッファーの上書き脆弱性を報告するための CERT/CC の Will Dormann (CVE-2013-1324)
• Word ヒープ上書きの脆弱性を報告するための CERT/CC の Will Dormann (CVE-2013-1325)

MS13-092

• thinktecture (www.thinktecture.com) & ERNW (www.ernw.de;アドレス破損の脆弱性を報告するための、Der Informationstechnik (BSI、ドイツ連邦情報セキュリティ局) の Bundesamt für Sicherheit に代わってフェリックス ヴィルヘルム (CVE-2013-3898)

MS13-094

• N.runs プロフェッショナル GmbH の Alexander Klink が S/MIME AIA の脆弱性を報告する (CVE-2013-3905)

MS13-095

• James Forshaw of Context Information Security for reporting the Digital Signatures Vulnerability (CVE-2013-3869)

• 影響を受けるソフトウェアは、影響を受けるバージョンを特定するためにテストされています。 その他のバージョンは、サポートライフサイクルを過ぎている。 ソフトウェアバージョンのサポートライフサイクルを決定するには、Microsoft サポートライフサイクルにアクセスしてください。
• IT プロフェッショナル向けのセキュリティ ソリューション: TechNet セキュリティのトラブルシューティングとサポート
• ウイルスやマルウェアから Windows を実行しているコンピューターを保護する: ウイルス ソリューションとセキュリティ センター
• お住まいの国に応じた現地サポート: 国際サポート

Microsoft サポート技術情報で提供される情報は、いかなる種類の保証もなく"現状のまま" 提供されます。 Microsoft は、商品性と特定の目的に対する適合性の保証を含め、明示または黙示を問わず、すべての保証を放棄します。 Microsoft Corporation またはそのサプライヤーは、Microsoft Corporation またはそのサプライヤーがこのような損害の可能性について通知された場合でも、直接的、間接的、付随的、派生的、ビジネス上の利益の損失、または特別な損害を含む一切の損害について一切の責任を負いません。 一部の州では、派生的損害または付随的損害に対する責任の除外または制限が認められていないため、前述の制限は適用されない場合があります。

• V1.0 (2013 年 11 月 12 日): セキュリティ情報の概要が公開されました。

ビルド日: 2014-04-18T13:49:36Z-07:00