Microsoft セキュリティ情報 MS16-001 - 重大

公開日: 2016 年 1 月 12 日 |更新日: 2016 年 2 月 19 日

バージョン: 1.1

このセキュリティ更新プログラムは、インターネット エクスプローラーの脆弱性を解決します。 この脆弱性の深刻度が高いほど、ユーザーがインターネット エクスプローラーを使用して特別に細工された Web ページを表示した場合に、リモートでコードが実行される可能性があります。 攻撃者がこの脆弱性を悪用した場合、現在のユーザーと同じユーザー権限を取得する可能性があります。 現在のユーザーが管理者権限でログオンしている場合、攻撃者がこの脆弱性を悪用した場合、影響を受けるシステムが制御される可能性があります。 このような攻撃者はプログラムをインストールしたり、データの閲覧、変更、削除を行ったり、完全なユーザー権限を持つ新しいアカウントを作成したりできるようになります。

このセキュリティ更新プログラムは、インターネット エクスプローラー 7 (IE 7)、インターネット エクスプローラー 8 (IE 8)、インターネット エクスプローラー 9 (IE 9)、影響を受ける Windows クライアントのインターネット エクスプローラー 10 (IE 10)、インターネット エクスプローラー 11 (IE 11)、およびインターネット エクスプローラー 7 (IE 7)、インターネット用モデレートが評価されますエクスプローラー 8 (IE 8)、インターネット エクスプローラー 9 (IE 9)、インターネット エクスプローラー 10 (IE 10)、および影響を受ける Windows サーバー上のインターネット エクスプローラー 11 (IE 11)。 詳細については、「影響を受けるソフトウェア」セクションを参照してください。

このセキュリティ更新プログラムは、次の方法で脆弱性を解決します。

• VBScript がメモリ内のオブジェクトを処理する方法の変更
• インターネット エクスプローラーでクロス doメイン ポリシーが適切に適用されるように支援する

脆弱性の詳細については、「脆弱性情報」セクションを参照してください。

この更新プログラムの詳細については、マイクロソフト サポート技術情報の記事3124903を参照してください。

次のソフトウェア バージョンまたはエディションが影響を受ける。 一覧にないバージョンまたはエディションは、サポート ライフサイクルを過ぎたか、影響を受けません。 ソフトウェアのバージョンまたはエディションのサポート ライフサイクルを確認するには、「Microsoft サポート ライフサイクル」を参照してください。

影響を受けるソフトウェア 

^[1] 2016 年 1 月 12 日以降のインターネット エクスプローラーのサポートの変更については、「Microsoft サポート ライフサイクル」を参照してください。

^[2] この更新プログラムは Windows Update から入手できます。

^[3] Windows 10 の更新プログラムは累積的です。 セキュリティ以外の更新プログラムを含むだけでなく、毎月のセキュリティ リリースに付属するすべての Windows 10 の影響を受ける脆弱性に対するすべてのセキュリティ修正プログラムも含まれています。 更新プログラムは、Microsoft Update カタログから入手できます。

^[4]Citrix XenDesktop がインストールされている Windows 10 または Windows 10 バージョン 1511 を実行しているお客様には、この更新プログラムは提供されません。 XenDesktopソフトウェアに関するCitrixの問題により、更新プログラムをインストールするユーザーはログオンできなくなります。 Microsoft では、保護を維持するために、互換性のないソフトウェアをアンインストールし、この更新プログラムをインストールすることをお勧めします。 お客様は、この XenDesktop ソフトウェアの問題に関する詳細とヘルプについて Citrix に問い合わせる必要があります。

このセキュリティ情報で説明されているサード パーティ製品は、Microsoft に依存しない企業によって製造されています。 明示的か黙示的かにかかわらず、これらの製品のパフォーマンスや信頼性についてマイクロソフトはいかなる責任も負わないものとします。

注 : Windows Server Technical Preview 3 と Windows Server Technical Preview 4 が影響を受けます。 これらのオペレーティング システムを実行しているお客様は、Windows Update から入手できる更新プログラムを適用することをお勧めします。

*更新置き換えられた列には、置き換えられた更新プログラムのチェーン内の最新の更新プログラムのみが表示されます。 置き換えられた更新プログラムの包括的な一覧については、Microsoft Update カタログに移動し、更新プログラムのKB (キロバイト)番号を検索して、更新プログラムの詳細を表示します (更新プログラムの置き換えられた情報は [パッケージの詳細] タブで提供されます)。

インターネット エクスプローラー 7 は、このセキュリティ情報で説明されている脆弱性の影響を受けません。 インターネット エクスプローラー 7 を実行しているシステムで3124275更新プログラムをまだ提供されているのはなぜですか?
インターネット エクスプローラー 7 には、このセキュリティ情報で説明されている脆弱性の影響を受けるコードは含まれていませんが、更新プログラムは累積的です。 この更新プログラムには、新しいセキュリティ以外の更新プログラムが含まれているだけでなく、インターネット エクスプローラー 7 用に以前にリリースされたすべてのセキュリティ修正プログラムも含まれています。 Microsoft サポート技術情報の記事3124275に記載されている該当するセキュリティ以外の修正プログラムを受け取るために、インターネット エクスプローラー 7 を実行しているシステムに更新プログラムの3124275をインストールすることをお勧めします。

特定のシステムとインターネットのエクスプローラー構成では、CVE-2016-0002 で説明されている脆弱性をどの更新プログラムが解決しますか?
CVE-2016-0002 は VBScript エンジンの脆弱性です。 この攻撃ベクトルはインターネット エクスプローラーを介していますが、この更新プログラム (3124275) は、インターネット エクスプローラー 8、インターネット エクスプローラー 9、インターネット エクスプローラー 10、インターネット エクスプローラー 11 を実行しているシステムに対してのみ対処されます。 インターネット エクスプローラー 7 以前およびインターネット エクスプローラーがインストールされていないシステムの場合、この脆弱性は MS16-003 で説明されている更新プログラムによって解決されます。

CVE-2016-0002 に対応する更新プログラムは、システムにインストールされている VBScript スクリプト エンジンのバージョンによって異なります。 更新情報については、次の表を参照してください。

この更新プログラムには、機能に対するセキュリティ関連の追加の変更が含まれていますか? 
このセキュリティ情報に記載されている脆弱性の一覧に記載されている変更に加えて、この更新プログラムには、セキュリティ関連の機能の向上に役立つ多層防御の更新プログラムが含まれています。

次の重大度評価は、脆弱性の潜在的な最大影響を想定しています。 このセキュリティ情報のリリースから 30 日以内に、重大度評価とセキュリティへの影響に関連する脆弱性の悪用可能性に関する情報については、1 月のセキュリティ情報の概要にある Exploitability Index を参照してください。

[重大度の評価と影響] テーブルで指定されている場合、[重大]、[重要]、[中] の値は重大度の評価を示します。 詳細については、「セキュリティ情報の重大度評価システム」を参照してください。 最大の影響を示すために表で使用される省略形については、次のキーを参照してください。

インターネット エクスプローラーのメモリ内のオブジェクトを処理するときに VBScript エンジンがレンダリングする方法に、リモートでコードが実行される脆弱性が存在します。 この脆弱性により、攻撃者が現在のユーザーのコンテキストで任意のコードを実行できるような方法でメモリが破損する可能性があります。

Web ベースの攻撃シナリオでは、攻撃者はインターネット エクスプローラーを介して脆弱性を悪用するように設計された特別に細工された Web サイトをホストし、ユーザーに Web サイトを表示するよう誘導する可能性があります。 攻撃者は、IE レンダリング エンジンをホストするアプリケーションまたは Microsoft Office ドキュメントに、"初期化しても安全" とマークされた ActiveX コントロールを埋め込む可能性もあります。 攻撃者は、侵害された Web サイトや、ユーザーが提供したコンテンツや広告を受け入れる、またはホストする Web サイトを利用する可能性もあります。 これらの Web サイトには、この脆弱性を悪用する可能性のある特別に細工されたコンテンツが含まれている可能性があります。

攻撃者がこの脆弱性を悪用した場合、現在のユーザーと同じユーザー権限を取得する可能性があります。 現在のユーザーが管理者権限でログオンしている場合、攻撃者がこの脆弱性を悪用した場合、影響を受けるシステムを制御する可能性があります。 このような攻撃者はプログラムをインストールしたり、データの閲覧、変更、削除を行ったり、完全なユーザー権限を持つ新しいアカウントを作成したりできるようになります。

この更新プログラムは、VBScript スクリプト エンジンがメモリ内のオブジェクトを処理する方法を変更することで、この脆弱性を解決します。

次の表に、一般的な脆弱性と公開の一覧の各脆弱性の標準エントリへのリンクを示します。

Microsoft は、この脆弱性の 軽減要因 を特定していません。

状況によっては、次 の 回避策が役立つ場合があります。

• VBScript.dllへのアクセスを制限する

  • 32 ビット システムの場合は、管理コマンド プロンプトで次のコマンドを入力します。

    takeown /f %windir%\system32\vbscript.dll   
    cacls %windir%\system32\vbscript.dll /E /P everyone:N
    

  • 64 ビット システムの場合は、管理コマンド プロンプトで次のコマンドを入力します。

    takeown /f %windir%\syswow64\vbscript.dll   
    cacls %windir%\syswow64\vbscript.dll /E /P everyone:N
    

  回避策の影響。 VBScript を使用する Web サイトが正常に動作しない場合があります。

  回避策を元に戻す方法:

  • 32 ビット システムの場合は、管理コマンド プロンプトで次のコマンドを入力します。

    cacls %windir%\system32\vbscript.dll /E /R everyone
    

  • 64 ビット システムの場合は、管理コマンド プロンプトで次のコマンドを入力します。

    cacls %windir%\syswow64\vbscript.dll /E /R everyone
    

インターネット エクスプローラーがクロスドメイン ポリシーを適切に適用しない場合、特権の昇格の脆弱性が存在します。これにより、攻撃者は、ある操作から情報にアクセスしメイン別の操作に挿入することができますメイン。 この更新プログラムは、インターネット エクスプローラーでクロス doメイン ポリシーが適切に適用されるようにすることで、この脆弱性を解決します。

Web ベースの攻撃シナリオでは、攻撃者がこの脆弱性の悪用を試みるために使用される Web サイトをホストする可能性があります。 さらに、侵害された Web サイトや、ユーザーが提供するコンテンツを受け入れる、またはホストする Web サイトには、この脆弱性を悪用する可能性がある特別に細工されたコンテンツが含まれている可能性があります。 ただし、いずれの場合も、攻撃者は、攻撃者が制御するコンテンツをユーザーに強制的に表示させる方法はありません。 代わりに、攻撃者はユーザーにアクションを実行するよう誘導する必要があります。 たとえば、攻撃者はユーザーをだまして、攻撃者のサイトに移動するリンクをクリックする可能性があります。 攻撃者がこの脆弱性を悪用した場合、影響を受けるバージョンのインターネット エクスプローラーで特権が昇格される可能性があります。

この脆弱性だけでは、任意のコードを実行できません。 ただし、この脆弱性は、任意のコードを実行するときに昇格された特権を利用できる別の脆弱性 (リモート コード実行の脆弱性など) と組み合わせて使用される可能性があります。 たとえば、攻撃者はインターネット エクスプローラーを介して任意のコードを実行するために別の脆弱性を悪用する可能性がありますが、インターネット エクスプローラーによってプロセスが起動されるコンテキストにより、コードは低整合性レベル (非常に制限されたアクセス許可) で実行するように制限される可能性があります。 ただし、攻撃者はこの脆弱性を悪用して、任意のコードを中程度の整合性レベル (現在のユーザーのアクセス許可) で実行させる可能性があります。

次の表には、一般的な脆弱性と公開の一覧の各脆弱性の標準エントリへのリンクが含まれています。次の表に、共通脆弱性と公開の一覧の各脆弱性の標準エントリへのリンクを示します。

Microsoft は、この脆弱性の 軽減要因 を特定していません。

Microsoft は、この脆弱性の 回避策を 特定していません。

セキュリティ更新プログラムの展開情報については、「エグゼクティブの概要」で参照されている Microsoft サポート技術情報の記事を参照してください。

Microsoft は、連携した脆弱性の開示を通じてお客様を保護するのに役立つセキュリティ コミュニティの人々の取り組みを認識しています。 詳細については、「 受信確認 」を参照してください。

Microsoft サポート技術情報で提供される情報は、いかなる種類の保証もなく"現状のまま" 提供されます。 Microsoft は、商品性と特定の目的に対する適合性の保証を含め、明示または黙示を問わず、すべての保証を放棄します。 Microsoft Corporation またはそのサプライヤーは、Microsoft Corporation またはそのサプライヤーがこのような損害の可能性について通知された場合でも、直接的、間接的、付随的、派生的、ビジネス上の利益の損失、または特別な損害を含む一切の損害について一切の責任を負いません。 一部の州では、派生的損害または付随的損害に対する責任の除外または制限が認められていないため、前述の制限は適用されない場合があります。

• V1.0 (2016 年 1 月 12 日): セキュリティ情報が公開されました。
• V1.1 (2016 年 2 月 19 日): 影響を受けるソフトウェアの表で、このセキュリティ情報で説明されている脆弱性の影響を受けないため、インターネット エクスプローラー 7 の重大度と影響のエントリを削除しました。 ただし、Microsoft サポート技術情報の記事3124275に記載されているセキュリティ以外の修正プログラムを受け取るために、インターネット エクスプローラー 7 を実行しているシステムに更新プログラムの3124275をインストールすることをお勧めします。 これは情報の変更のみです。

Page generated 2016-02-19 12:26-08:00.