Microsoft セキュリティ情報 MS15-095 - 重大

[アーティクル]
03/15/2024

Microsoft Edge 用の累積的なセキュリティ更新プログラム (3089665)

公開日: 2015 年 9 月 8 日

バージョン: 1.0

概要

このセキュリティ更新プログラムは、Microsoft Edge の脆弱性を解決します。最も深刻な脆弱性により、ユーザーが Microsoft Edge を使用して特別に細工された Web ページを表示した場合、リモートでコードが実行される可能性があります。攻撃者がこれらの脆弱性を悪用した場合、現在のユーザーと同じユーザー権限を取得する可能性があります。システムに対するユーザー権限が少ないほどアカウントが構成されているお客様は、管理者権限を使用して操作するユーザーよりも影響を受けにくい可能性があります。

このセキュリティ更新プログラムは、影響を受ける Windows クライアントで Microsoft Edge に対して重大と評価されます。詳細については、「影響を受けるソフトウェア」セクションを参照してください。

このセキュリティ更新プログラムは、Microsoft Edge がメモリ内のオブジェクトを処理する方法を変更することで、この脆弱性を解決します。

脆弱性の詳細については、「脆弱性情報」セクションを参照してください。

この更新プログラムの詳細については、マイクロソフトサポート技術情報の記事3089665を参照してください。

影響を受けるソフトウェア

次のソフトウェアバージョンまたはエディションが影響を受ける。一覧にないバージョンまたはエディションは、サポートライフサイクルを過ぎたか、影響を受けません。ソフトウェアのバージョンまたはエディションのサポートライフサイクルを確認するには、「Microsoft サポートライフサイクル」を参照してください。

影響を受けるソフトウェア

オペレーティングシステム	コンポーネント	セキュリティへの影響の最大値	重大度の評価の集計	更新置換済み
Microsoft Edge
Windows 10 for 32 ビットシステム^[1](3081455)	Microsoft Edge	リモートコードの実行	重大	3081444
x64 ベースシステム^{用 Windows 10[1]}(3081455)	Microsoft Edge	リモートコードの実行	重大	3081444

^[1]Windows 10 更新プログラムは累積的です。セキュリティ以外の更新プログラムを含むだけでなく、今月のセキュリティリリースに付属するすべての Windows 10 の影響を受ける脆弱性に対するすべてのセキュリティ修正プログラムも含まれています。詳細とダウンロードリンクについては、マイクロソフトサポート技術情報の記事3081455 を参照してください。

注 : Windows Server Technical Preview 2 と Windows Server Technical Preview 3 が影響を受けます。このオペレーティングシステムを実行しているお客様は、Windows Update から入手できる更新プログラムを適用することをお勧めします。

重大度の評価と脆弱性識別子

次の重大度評価は、脆弱性の潜在的な最大影響を想定しています。このセキュリティ情報のリリースから 30 日以内に、脆弱性の重大度評価とセキュリティへの影響に関する脆弱性の悪用可能性に関する情報については、9 月のセキュリティ情報の概要にある Exploitability Index を参照してください。

[重大度の評価と影響] テーブルで指定されている場合、[重大]、[重要]、[中] の値は重大度の評価を示します。詳細については、「セキュリティ情報の重大度評価システム」を参照してください。最大の影響を示すために表で使用される省略形については、次のキーを参照してください。

省略形	最大影響
Rce	リモートコードの実行
Eop	特権の昇格
ID	情報漏えい
SFB	セキュリティ機能のバイパス

脆弱性の重大度の評価と影響
CVE 番号	脆弱性のタイトル	Microsoft Edge
CVE-2015-2485	メモリ破損の脆弱性	Windows クライアント: Critical /RCE Windows Server: Moderate / RCE
CVE-2015-2486	メモリ破損の脆弱性	Windows クライアント: Critical /RCE Windows Server: Moderate / RCE
CVE-2015-2494	メモリ破損の脆弱性	Windows クライアント: Critical /RCE Windows Server: Moderate / RCE
CVE-2015-2542	メモリ破損の脆弱性	Windows クライアント: Critical /RCE Windows Server: Moderate / RCE

脆弱性情報

複数のメモリ破損の脆弱性

Microsoft Edge がメモリ内のオブジェクトに不適切にアクセスすると、リモートでコードが実行される脆弱性が存在します。これらの脆弱性により、攻撃者が現在のユーザーのコンテキストで任意のコードを実行できるような方法でメモリが破損する可能性があります。

攻撃者は、Microsoft Edge を通じてこれらの脆弱性を悪用するように設計された特別に細工された Web サイトをホストし、ユーザーにその Web サイトを表示させる可能性があります。攻撃者は、これらの脆弱性を悪用する可能性のある特別に細工されたコンテンツを追加することで、ユーザーが提供するコンテンツや広告を受け入れる、またはホストする侵害された Web サイトや Web サイトを利用する可能性もあります。ただし、いずれの場合も、攻撃者は、攻撃者が制御するコンテンツをユーザーに強制的に表示させる方法はありません。代わりに、攻撃者はユーザーにアクションを実行するよう誘導する必要があります。通常は、インスタントメッセンジャーまたは電子メールメッセージ内のリンクをクリックしてユーザーを攻撃者の Web サイトに誘導するか、電子メールで送信された添付ファイルを開く必要があります。

攻撃者がこれらの脆弱性を悪用した場合、現在のユーザーと同じユーザー権限を取得する可能性があります。現在のユーザーが管理者権限でログオンしている場合、これらの脆弱性を悪用した攻撃者が影響を受けるシステムを制御する可能性があります。このような攻撃者はプログラムをインストールしたり、データの閲覧、変更、削除を行ったり、完全なユーザー権限を持つ新しいアカウントを作成したりできるようになります。ワークステーションやターミナルサーバーなど、Microsoft Edge が頻繁に使用されるシステムは、これらの脆弱性の影響を最も受けます。

この更新プログラムは、Microsoft Edge がメモリ内のオブジェクトを処理する方法を変更することで、この脆弱性を解決します。次の表に、一般的な脆弱性と公開の一覧の各脆弱性の標準エントリへのリンクを示します。

脆弱性のタイトル	CVE 番号	公開	悪用
メモリ破損の脆弱性	CVE-2015-2485	いいえ	いいえ
メモリ破損の脆弱性	CVE-2015-2486	いいえ	いいえ
メモリ破損の脆弱性	CVE-2015-2494	いいえ	いいえ
メモリ破損の脆弱性	CVE-2015-2542	はい	いいえ

軽減要因

Microsoft は、これらの脆弱性の軽減要因を特定していません。

対処方法

Microsoft は、これらの脆弱性の回避策を特定していません。

セキュリティ更新プログラムの展開

セキュリティ更新プログラムの展開情報については、「エグゼクティブの概要」で参照されている Microsoft サポート技術情報の記事を参照してください。

謝辞

Microsoft は、連携した脆弱性の開示を通じてお客様を保護するのに役立つセキュリティコミュニティの人々の取り組みを認識しています。詳細については、「受信確認」を参照してください。

免責情報

Microsoft サポート技術情報で提供される情報は、いかなる種類の保証もなく"現状のまま" 提供されます。 Microsoft は、商品性と特定の目的に対する適合性の保証を含め、明示または黙示を問わず、すべての保証を放棄します。 Microsoft Corporation またはそのサプライヤーは、Microsoft Corporation またはそのサプライヤーがこのような損害の可能性について通知された場合でも、直接的、間接的、付随的、派生的、ビジネス上の利益の損失、または特別な損害を含む一切の損害について一切の責任を負いません。一部の州では、派生的損害または付随的損害に対する責任の除外または制限が認められていないため、前述の制限は適用されない場合があります。

リビジョン

V1.0 (2015 年 9 月 8 日): セキュリティ情報が公開されました。

Page generated 2015-09-28 14:03Z-07:00.