Microsoft Service Bus の脆弱性により、サービス拒否 (2972621) が発生する
公開日: 2014 年 7 月 8 日 |更新日: 2014 年 10 月 14 日
バージョン: 2.0
一般情報
概要
このセキュリティ更新プログラムは、Microsoft Service Bus for Windows Server で公開されている 1 つの脆弱性を解決します。 この脆弱性により、リモートで認証された攻撃者が、特別に細工された高度なメッセージ キュー プロトコル (AMQP) メッセージのシーケンスをターゲット システムに送信するプログラムを作成して実行した場合、サービス拒否が起こる可能性があります。 Microsoft Service Bus for Windows Server は、Microsoft オペレーティング システムには付属していません。 影響を受けるシステムが脆弱になるには、まず Microsoft Service Bus をダウンロード、インストール、構成してから、その構成の詳細 (ファーム証明書) を他のユーザーと共有する必要があります。
このセキュリティ更新プログラムは、影響を受けるエディションの Windows Server 2008 R2、Windows Server 2012、および Windows Server 2012 R2 にインストールされている場合、Moderate for Microsoft Service Bus 1.1 と評価されます。 詳細については、「影響を 受けるソフトウェア 」および「影響を受けるソフトウェア」セクションを参照してください。
このセキュリティ更新プログラムは、Service Bus for Windows Server が AMQP メッセージを処理する方法を変更することにより、この脆弱性を解決します。 この脆弱性の詳細については、このセキュリティ情報の特定の 脆弱性に関するよく寄せられる質問 (FAQ) のサブセクションを参照してください。
この脆弱性の影響を受ける Microsoft Service Bus for Windows Server の製品バージョンは何ですか?
Microsoft Service Bus 1.1 は、システム上に存在する影響を受けるバイナリの製品バージョンが、次の表の脆弱な製品バージョンに記載されているものと一致する場合、この脆弱性の影響を受けます。
影響を受けるバイナリ
脆弱な製品バージョン
更新プログラムの適用後に予想される製品バージョン
Microsoft.ServiceBus.dll
2.1.30904.0
2.1.40512.2
Microsoft.Cloud.ServiceBus.Client.dll
2.1.30904.0
2.1.40512.2
Microsoft.ServiceBus.Commands.dll
2.0.30904.0
2.0.40512.2
Microsoft.Cloud.ServiceBus.Messaging.dll
2.0.30904.0
2.0.40512.2
システムに存在する影響を受けるバイナリの製品バージョンが 2 番目の列のエントリ以上の場合、Microsoft Service Bus 1.1 は脆弱性に対処するように更新されており、影響を受けません。
現在システムにインストールされている Microsoft Service Bus for Windows Server のバージョンを確認操作方法。
Microsoft Service Bus 1.1 が既にコンピューターにインストールされている場合は、[プログラムの追加と削除] に表示されます。 影響を受けるバイナリ (C:\Program Files\Service Bus\1.1 ディレクトリにあります) の製品バージョン番号をチェックするには、ファイルのプロパティを表示し、[詳細] タブにある製品バージョンを確認します。影響を受けるバイナリと脆弱な製品バージョンを上の表に示します。
Windows Server 用 Microsoft Service Bus のバージョンを手動で更新操作方法。
Microsoft Update 経由で更新プログラムをインストールするのではなく、手動で更新プログラムをインストールすることを選択したお客様は、まず、システムにインストールされているバージョンを決定する必要があります (Microsoft Service Bus 1.1 は、Windows Server 2008 R2 Service Pack 1、Windows Server 2012、および Windows Server 2012 R2 でのみサポートされています)。 Service Bus 1.1 がシステムにインストールされている場合は、前の FAQ で説明したように、影響を受けるいずれかのバイナリのビルド バージョンをチェックします。 システムに存在する製品バージョンが脆弱な場合は、このセキュリティ情報の「影響を受けるソフトウェア」セクションにある Microsoft ダウンロード センターのリンクを使用して、2972621更新プログラムをダウンロードしてインストールします。
この更新プログラムは、Windows Server 用 Microsoft Service Bus のバージョンをアップグレードしますか?
いいえ。 2972621更新プログラムでは、以前のバージョンの Microsoft Service Bus はバージョン 1.1 にアップグレードされません。 Microsoft では、このセキュリティ情報で説明されている脆弱性から保護されるようにアップグレードすることをお勧めします。
このセキュリティ情報で説明されているソフトウェアの以前のリリースを使用しています。 どうすればよいですか。
このセキュリティ情報に記載されている影響を受けるソフトウェアは、影響を受けるリリースを特定するためにテストされています。 他のリリースはサポート ライフサイクルを過ぎている。 製品ライフサイクルの詳細については、Microsoft サポート ライフサイクル Web サイトを参照してください。
Microsoft Service Bus for Windows Server は、Microsoft オペレーティング システムには付属していません。 影響を受けるシステムが脆弱になるには、まず Microsoft Service Bus をダウンロード、インストール、構成してから、その構成の詳細 (ファーム証明書) を他のユーザーと共有する必要があります。
対処方法
回避策とは、基になる脆弱性を修正しないが、更新プログラムを適用する前に既知の攻撃ベクトルをブロックするのに役立つ設定または構成の変更を指します。 Microsoft は、回避策によって機能が低下するかどうかを説明する中で、次の回避策と状態をテストしました。
変更を有効にするには、次の Service Bus PowerShell コマンドレットを実行します。
stop-sbhost
続けて次を入力します
start-sbhost
注: 構成済みの Service Bus ファームに複数のノードが存在する場合は、ファーム内の各ノードで上記の手順を実行する必要があります。
よく寄せられる質問
この脆弱性の範囲は何ですか?
これはサービス拒否の脆弱性です。
この脆弱性の原因は何ですか?
この脆弱性は、Microsoft Service Bus が特別に細工された AMQP メッセージを不適切に処理した場合に発生します。
Advanced Message Queuing Protocol (AMQP) とは
Advanced Message Queuing Protocol (AMQP) は、堅牢なクロスプラットフォーム メッセージング アプリケーションの構築に使用できる、効率的で信頼性の高いメッセージング プロトコルです。 Windows Server 用 Microsoft Service Bus の詳細については、 Service Bus AMQP: 開発者ガイドを参照してください。
Windows Server 用 Microsoft Service Bus とは
Microsoft Service Bus for Windows Server は、Windows でメッセージング機能を提供するインストール可能なコンポーネントです。 これにより、ユーザーは自己管理環境でメッセージ駆動型アプリケーションをビルド、テスト、実行できます。 Windows Server 用 Microsoft Service Bus の詳細については、「Service Bus for Windows Server (Service Bus 1.1)」を参照してください。
攻撃者はこの脆弱性を使用して何を行う可能性がありますか?
攻撃者がこの脆弱性を悪用すると、Microsoft Service Bus が受信メッセージへの応答を停止する可能性があります。
サポートされているすべてのエディションの Windows Server 2008 R2、Windows Server 2012、または Windows Server 2012 R2:\ ServiceBusServer-KB (キロバイト)2972621-x64-EN.exe にインストールされている場合、Microsoft Service Bus for Windows Server の場合
Microsoft サポート技術情報で提供される情報は、いかなる種類の保証もなく"現状のまま" 提供されます。 Microsoft は、商品性と特定の目的に対する適合性の保証を含め、明示または黙示を問わず、すべての保証を放棄します。 Microsoft Corporation またはそのサプライヤーは、Microsoft Corporation またはそのサプライヤーがこのような損害の可能性について通知された場合でも、直接的、間接的、付随的、派生的、ビジネス上の利益の損失、または特別な損害を含む一切の損害について一切の責任を負いません。 一部の州では、派生的損害または付随的損害に対する責任の除外または制限が認められていないため、前述の制限は適用されない場合があります。
Windows Server Update Services を使用して、ネットワーク上のコンピューターにオペレーティング システムの更新プログラムを展開する方法について説明します。 適切な展開オプションを選択し、WSUS と Microsoft Azure Update Management を組み合わせて、サーバーの更新プログラムを管理します。