セキュリティ アドバイザリ

Microsoft セキュリティ アドバイザリ 980088

インターネット エクスプローラーの脆弱性により、情報漏えいが起こる

公開日: 2010 年 2 月 3 日 |更新日: 2010 年 6 月 9 日

Microsoft は、Windows XP を実行しているお客様、またはインターネット エクスプローラー保護モードを無効にしているお客様向けに、インターネット エクスプローラーの一般に報告された脆弱性を調査しています。 このアドバイザリには、脆弱なインターネット エクスプローラーのバージョンに関する情報と、この問題の回避策と軽減策が含まれています。

これまでの調査では、ユーザーが保護モードで実行されていないインターネット エクスプローラーのバージョンを使用している場合、攻撃者は既に既知のファイル名と場所を持つファイルにアクセスできる可能性があることが示されています。 これらのバージョンには、Microsoft Windows 2000 Service 4 のインターネット エクスプローラー 5.01 Service Pack 4 が含まれます。Microsoft Windows 2000 Service Pack 4 のインターネット エクスプローラー 6 Service Pack 1、および Windows XP Service Pack 2、Windows XP Service Pack 3、Windows Server 2003 Service Pack 2 のサポートされているエディションでは、インターネット エクスプローラー 6、インターネット エクスプローラー 7、インターネット エクスプローラー 8。 保護モードは、この脆弱性の悪用を防ぎ、Windows Vista、Windows Server 2008、Windows 7、および Windows Server 2008 のインターネット エクスプローラーのバージョンに対して既定で実行されます。

この脆弱性は、情報が悪意のある Web サイトに公開される可能性のある方法で、コンテンツがローカル ファイルから誤ってレンダリングされるために存在します。

Microsoft は MS10-035 をリリースし、インターネット エクスプローラー 7 およびインターネット エクスプローラー 8 のメインの問題の既知のベクトルに対処しました。これは、インターネット エクスプローラーの新しいバージョンです。 ただし、インターネットのすべてのバージョンエクスプローラー再メイン、攻撃者がユーザーのシステム上の予測可能な場所にコンテンツをキャッシュでき、ユーザー名を特定できる場合、攻撃者はユーザーがアクセスできるローカル システム上のファイルを表示できる可能性がある問題の対象となります。

現時点では、この脆弱性を使用しようとする攻撃は認識しません。 この状況が変わる場合は、引き続き脅威環境を監視し、このアドバイザリを更新します。 この調査が完了すると、Microsoft は、お客様のニーズに応じて、毎月のセキュリティ更新プログラムのリリース プロセスを通じてソリューションを提供したり、サイクル外のセキュリティ更新プログラムを提供したりするなど、お客様を保護するための適切なアクションを実行します。

Microsoft は、Microsoft Active Protections Program (MAPP) および Microsoft Security Response Alliance (MSRA) プログラムのパートナーと積極的に協力して、お客様に広範な保護を提供するために使用できる情報を提供しています。 さらに、パートナーと積極的に協力して脅威の状況を監視し、この脆弱性を悪用しようとする悪意のあるサイトに対してアクションを実行しています。

Microsoft は引き続き、ファイアウォールの有効化、すべてのソフトウェア更新プログラムの適用、ウイルス対策およびスパイウェア対策ソフトウェアのインストールに関する「コンピューターの保護」ガイダンスに従うことをお客様に推奨しています。 その他の情報については、自宅のセキュリティを 参照してください。

軽減要因:

• 保護モードは、この脆弱性の悪用を防ぎ、Windows Vista、Windows Server 2008、Windows 7、および Windows Server 2008 R2 でサポートされているバージョンのインターネット エクスプローラーに対して既定で実行されます。
• Web ベースの攻撃シナリオでは、攻撃者がこの脆弱性の悪用に使用される Web ページを含む Web サイトをホストする可能性があります。 さらに、ユーザーが提供するコンテンツまたは広告を受け入れる、またはホストする侵害された Web サイトや Web サイトには、この脆弱性を悪用する可能性のある特別に細工されたコンテンツが含まれる可能性があります。 ただし、いずれの場合も、攻撃者はユーザーにこれらの Web サイトへのアクセスを強制する方法はありません。 代わりに、攻撃者は、通常、ユーザーを攻撃者の Web サイトに誘導する電子メール メッセージまたはインスタント メッセンジャー メッセージ内のリンクをクリックするようにユーザーに誘導する必要があります。
• 攻撃者がこの脆弱性を悪用した場合、ローカル ユーザーと同じユーザー権限を取得する可能性があります。 システムのユーザー権限が少ないほどアカウントが構成されているユーザーは、管理者権限を使用して操作するユーザーよりも影響を受けにくい可能性があります。
• 既定では、Windows Server 2003 および Windows Server 2008 のインターネット エクスプローラーは、セキュリティ強化構成と呼ばれる制限付きモードで実行されます。 このモードでは、インターネット ゾーンのセキュリティ レベルが [高] に設定されます。 これは、インターネット エクスプローラー信頼済みサイト ゾーンに追加していない Web サイトの軽減要因です。
• 既定では、サポートされているすべてのバージョンの Microsoft Outlook、Microsoft Outlook Express、Windows Mail は、制限付きサイト ゾーンで HTML 電子メール メッセージを開きます。 制限付きサイト ゾーンは、HTML 電子メール メッセージの読み取り時に Active Scripting および ActiveX コントロールが使用されないようにすることで、この脆弱性を悪用しようとする可能性のある攻撃を軽減するのに役立ちます。 ただし、ユーザーが電子メール メッセージ内のリンクをクリックしても、Web ベースの攻撃シナリオを通じてこの脆弱性が悪用される可能性があります。

一般情報

概要

アドバイザリの目的: 公開された脆弱性の初期通知を顧客に提供するため。 詳細については、このセキュリティ アドバイザリの 「軽減要因」 、「回避策」、および 「推奨されるアクション」 セクションを参照してください。

アドバイザリの状態: この問題は現在調査中です。

推奨事項: 推奨されるアクションを確認し、必要に応じて構成します。

このアドバイザリでは、次のソフトウェアについて説明します。

よく寄せられる質問

アドバイザリの範囲は何ですか?
Microsoft は、インターネット エクスプローラーに影響を与える新しい脆弱性を認識しています。 インターネット エクスプローラーの脆弱性は、「概要」セクションに記載されているソフトウェアに影響します。

これは、Microsoft がセキュリティ更新プログラムを発行する必要があるセキュリティの脆弱性ですか?
この調査が完了すると、Microsoft はお客様の保護に役立つ適切なアクションを実行します。 これには、お客様のニーズに応じて、毎月のリリース プロセスによるセキュリティ更新プログラムの提供や、サイクル外のセキュリティ更新プログラムの提供が含まれる場合があります。

攻撃者がこの脆弱性を悪用する方法
攻撃者は、インターネット エクスプローラーを介してこの脆弱性を悪用するように設計された特別に細工された Web サイトをホストし、ユーザーにその Web サイトを表示させる可能性があります。 攻撃者は、ユーザーが提供するコンテンツや広告を受け入れる、またはホストする、侵害された Web サイトや Web サイトを利用する可能性もあります。 これらの Web サイトには、この脆弱性を悪用する可能性がある特別に細工されたコンテンツが含まれている可能性があります。 ただし、いずれの場合も、攻撃者はユーザーにこれらの Web サイトへのアクセスを強制する方法はありません。 代わりに、攻撃者はユーザーに Web サイトへのアクセスを誘導する必要があります。通常は、ユーザーに電子メール メッセージまたはインスタント メッセンジャー メッセージ内のリンクをクリックさせ、ユーザーを攻撃者の Web サイトに誘導します。 また、バナー広告を使用するか、他の方法を使用して影響を受けるシステムに Web コンテンツを配信することで、特別に細工された Web コンテンツを表示することもできます。

Windows Vista でインターネットの保護モードエクスプローラー後にこの脆弱性から保護する方法
Windows Vista 以降のインターネット エクスプローラーは、インターネット セキュリティ ゾーンで既定で保護モードで実行されます。 (イントラネット ゾーンでは、保護モードは既定でオフになっています)。保護モードにより、攻撃者がユーザーのコンピューター上のデータを書き込み、変更、または破棄したり、悪意のあるコードをインストールしたりする能力が大幅に低下します。 これは、高い整合性レベルのプロセス、ファイル、およびレジストリ キーへのアクセスを制限する Windows Vista の整合性メカニズムを使用して実現されます。

Windows XP を使用しているか、保護モードをオフにしています。 この問題から保護するために実装できる軽減策はありますか?
はい。 インターネット エクスプローラー ネットワーク プロトコル ロックダウンを利用した追加の軽減策が特定されました。 インターネット エクスプローラーは、特定のネットワーク プロトコルから HTML コンテンツをロックダウンするように構成できます。 この機能を使用すると、管理者は、ローカル コンピューター ゾーンのロックダウンと同じ制限を、セキュリティ ゾーン内の任意のプロトコル上の任意のコンテンツに適用できます。

「回避策」セクションの「インターネットエクスプローラーネットワーク プロトコルのロックダウンの修正」では何が行われますか?
Internet エクスプローラー Network Protocol Lockdown FixIt は、file:// プロトコルを制限して、スクリプトと ActiveX コントロールがインターネット ゾーン内の file:// プロトコルを使用して実行されないようにします。

この脆弱性を悪用した攻撃者が被害者のハード ドライブを見ることができるのは本当ですか?
システムが保護モードで実行されている場合、システムは攻撃に対して脆弱になりません。 保護モードで実行されていない場合、攻撃者は正確なファイル名とパスを知らない限り、ファイルを取得できません。 代わりに、ドライブ上のファイルを正常に見つけるには、攻撃者はそれを取得するために正確なファイル名と場所を知っている必要があります。  また、攻撃者はユーザーと同じファイルにのみアクセスできるため、ユーザーが管理者以外のモードで実行していた場合、一部のファイルは攻撃者から保護されます。

攻撃者はこれをどのように使用する可能性がありますか?
リモート ハード ドライブ上のファイルの正確な場所を知っている攻撃者は、ローカルに保存されているファイルの内容をリダイレクトし、ローカル コンテンツを HTML ドキュメントとしてレンダリングし、リモートで表示する可能性があります。

攻撃者がユーザーのファイルやその他の情報を表示する可能性があるという懸念についてはどうでしょうか。
攻撃者が影響を受けるシステムのユーザー名を特定でき、ユーザーのシステム上の予測可能な場所にコンテンツをキャッシュできる場合、攻撃者はユーザーのファイルを表示できる可能性があります。

推奨されるアクション

• PC を保護する

  ファイアウォールの有効化、ソフトウェア更新プログラムの取得、ウイルス対策ソフトウェアのインストールに関する Microsoft の PC 保護ガイダンスに従うことをお客様に引き続きお勧めします。 これらの手順の詳細については、PC Web サイトの保護に関するページを参照してください。

• インターネット上の安全を維持する方法の詳細については、Microsoft Security Central を参照してください。

対処方法

Microsoft では、次の回避策をテストしました。 これらの回避策では、基になる脆弱性は修正されませんが、既知の攻撃ベクトルをブロックするのに役立ちます。 回避策によって機能が低下する場合は、次のセクションで確認できます。

これらのゾーンで ActiveX コントロールと Active Scripting を実行する前にプロンプトを表示するには、インターネットとローカルイントラネットのセキュリティ ゾーンの設定を "高" に設定します

ActiveX コントロールと Active Scripting を実行する前に、インターネット セキュリティ ゾーンの設定を変更してプロンプトを表示することで、この脆弱性の悪用から保護できます。 これを行うには、ブラウザーのセキュリティを [高] に設定します。

インターネット エクスプローラーで閲覧のセキュリティ レベルを上げるには、次の手順に従います。

1. [インターネット エクスプローラー ツール] メニューの [インターネット オプション] をクリックします。
2. [インターネット オプション] ダイアログ ボックスで、[セキュリティ] タブをクリックし、[インターネット] アイコンをクリックします。
3. このゾーンの [セキュリティ レベル] で、スライダーを [高] に移動します。 これにより、アクセスするすべての Web サイトのセキュリティ レベルが [高] に設定されます。

注: スライダーが表示されない場合は、[既定のレベル] をクリックし、スライダーを [高] に移動します。

注: レベルを [高] に設定すると、一部の Web サイトが正しく動作しない可能性があります。 この設定を変更した後に Web サイトの使用が困難で、サイトが安全に使用できる場合は、そのサイトを信頼済みサイトの一覧に追加できます。 これにより、セキュリティ設定が [高] に設定されている場合でも、サイトが正しく動作できるようになります。

回避策の影響。 ActiveX コントロールと Active Scripting を実行する前に、プロンプトに副作用があります。 インターネットまたはイントラネット上にある多くの Web サイトでは、ActiveX または Active Scripting を使用して追加機能を提供しています。 たとえば、オンライン e コマース サイトや銀行サイトでは、ActiveX コントロールを使用して、メニュー、注文フォーム、さらには口座明細書を提供できます。 ActiveX コントロールまたは Active Scripting を実行する前にプロンプトを表示することは、すべてのインターネットおよびイントラネット サイトに影響を与えるグローバル設定です。 この回避策を有効にすると、頻繁にメッセージが表示されます。 各プロンプトで、アクセスしているサイトが信頼できる場合は、[はい] をクリックして ActiveX コントロールまたはアクティブ スクリプトを実行します。 これらのサイトすべてに対してプロンプトを表示しない場合は、「信頼できるサイトをインターネット エクスプローラー信頼済みサイト ゾーンに追加する」で説明されている手順を使用します。

信頼できるサイトをインターネット エクスプローラー信頼済みサイト ゾーンに追加する

インターネット エクスプローラーを設定して、インターネット ゾーンとローカル イントラネット ゾーンで ActiveX コントロールと Active Scripting を実行する前にプロンプトを要求した後、信頼できるサイトをインターネット エクスプローラー信頼済みサイト ゾーンに追加できます。 これにより、信頼されていないサイトに対するこの攻撃からユーザーを保護しながら、現在とまったく同じように信頼された Web サイトを引き続き使用できます。 信頼できるサイトのみを信頼済みサイト ゾーンに追加することをお勧めします。

これを行うには、次の手順を実行します。

1. インターネット エクスプローラーで、[ツール] をクリックし、[インターネット オプション] をクリックし、[セキュリティ] タブをクリックします。
2. [Web コンテンツ ゾーンを選択して現在のセキュリティ設定を指定する] ボックスで、[信頼済みサイト] をクリックし、[サイト] をクリックします。
3. 暗号化されたチャネルを必要としないサイトを追加する場合は、このゾーンのすべてのサイトの [サーバー検証を要求する (https:)] ボックスをクリックしてオフチェック。
4. [この Web サイトをゾーンに追加する] ボックスに、信頼できるサイトの URL を入力し、[追加] をクリックします。
5. ゾーンに追加するサイトごとに、これらの手順を繰り返します。
6. [OK] を 2 回クリックして変更を受け入れ、インターネット エクスプローラーに戻ります。

注: 信頼できるサイトを追加して、システムに対して悪意のあるアクションを実行しないようにします。 具体的には、*.windowsupdate.microsoft.com と *.update.microsoft.com の 2 つを追加できます。 これらは更新プログラムをホストするサイトであり、更新プログラムをインストールするには ActiveX コントロールが必要です。

アクティブ スクリプトを実行する前にプロンプトを表示するか、インターネットとローカル イントラネットのセキュリティ ゾーンでアクティブ スクリプトを無効にするようにインターネット エクスプローラーを構成する

アクティブ スクリプトを実行する前にプロンプトを表示するように設定を変更するか、インターネットおよびローカル イントラネット セキュリティ ゾーンでアクティブ スクリプトを無効にすることで、この脆弱性の悪用から保護できます。 これを行うには、次の手順を実行します。

1. [インターネット エクスプローラー] の [ツール] メニューの [インターネット オプション] をクリックします。
2. [セキュリティ] タブをクリックします。
3. [インターネット] をクリックし、[カスタム レベル] をクリックします。
4. 設定の [スクリプト] セクションの [Active Scripting] で、[**プロンプト**] または [無効] をクリックし、[OK] をクリックします。
5. [ローカル イントラネット] をクリックし、[カスタム レベル] をクリックします。
6. 設定の [スクリプト] セクションの [Active Scripting] で、[**プロンプト**] または [無効] をクリックし、[OK] をクリックします。
7. [OK] を 2 回クリックして、インターネット エクスプローラーに戻ります。

注: インターネットとローカル イントラネットのセキュリティ ゾーンでアクティブなスクリプトを無効にすると、一部の Web サイトが正しく動作しない可能性があります。 この設定を変更した後に Web サイトの使用が困難で、サイトが安全に使用できる場合は、そのサイトを信頼済みサイトの一覧に追加できます。 これにより、サイトが正常に動作できるようになります。

回避策の影響。 Active Scripting を実行する前にプロンプトを表示する場合は、副作用があります。 インターネットまたはイントラネット上にある多くの Web サイトでは、アクティブ スクリプトを使用して追加の機能を提供しています。 たとえば、オンライン e コマース サイトや銀行サイトでは、アクティブ スクリプトを使用して、メニュー、注文フォーム、または口座明細書を提供できます。 Active Scripting を実行する前にプロンプトを表示することは、すべてのインターネットおよびイントラネット サイトに影響を与えるグローバル設定です。 この回避策を有効にすると、頻繁にメッセージが表示されます。 各プロンプトで、アクセスしているサイトが信頼できる場合は、[はい] をクリックしてアクティブ スクリプトを実行します。 これらのサイトすべてに対してプロンプトを表示しない場合は、「信頼できるサイトをインターネット エクスプローラー信頼済みサイト ゾーンに追加する」で説明されている手順を使用します。

信頼できるサイトをインターネット エクスプローラー信頼済みサイト ゾーンに追加する

インターネット エクスプローラーを設定して、インターネット ゾーンとローカル イントラネット ゾーンで ActiveX コントロールと Active Scripting を実行する前にプロンプトを要求した後、信頼できるサイトをインターネット エクスプローラー信頼済みサイト ゾーンに追加できます。 これにより、信頼されていないサイトに対するこの攻撃からユーザーを保護しながら、現在とまったく同じように信頼された Web サイトを引き続き使用できます。 信頼できるサイトのみを信頼済みサイト ゾーンに追加することをお勧めします。

これを行うには、次の手順を実行します。

1. インターネット エクスプローラーで、[ツール] をクリックし、[インターネット オプション] をクリックし、[セキュリティ] タブをクリックします。
2. [Web コンテンツ ゾーンを選択して現在のセキュリティ設定を指定する] ボックスで、[信頼済みサイト] をクリックし、[サイト] をクリックします。
3. 暗号化されたチャネルを必要としないサイトを追加する場合は、このゾーンのすべてのサイトの [サーバー検証を要求する (https:)] ボックスをクリックしてオフチェック。
4. [この Web サイトをゾーンに追加する] ボックスに、信頼できるサイトの URL を入力し、[追加] をクリックします。
5. ゾーンに追加するサイトごとに、これらの手順を繰り返します。
6. [OK] を 2 回クリックして変更を受け入れ、インターネット エクスプローラーに戻ります。

注: 信頼できるサイトを追加して、システムに対して悪意のあるアクションを実行しないようにします。 具体的には、*.windowsupdate.microsoft.com と *.update.microsoft.com の 2 つを追加できます。 これらは更新プログラムをホストするサイトであり、更新プログラムをインストールするには ActiveX コントロールが必要です。

保護モードが無効になっている Windows XP またはシステムのインターネット エクスプローラー ネットワーク プロトコル ロックダウンを有効にする

警告 レジストリ エディターを正しく使用しない場合は、オペレーティング システムを再インストールする必要がある重大な問題が発生する可能性があります。 レジストリ エディターの不適切な使用によって生じた問題については、解決を保証できません。 リスクを理解した上でレジストリ エディターを使用してください。

"file" プロトコルをロックダウンするには、次のテキストをメモ帳などのテキスト エディターに貼り付けます。 次に、.regファイル名拡張子を使用してファイルを保存します。

Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\MAIN\FeatureControl\FEATURE_PROTOCOL_LOCKDOWN]
"explorer.exe"=dword:00000001
"iexplore.exe"=dword:00000001
"*"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\RestrictedProtocols]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\RestrictedProtocols\1]
"file"="file"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\RestrictedProtocols\3]
"file"="file"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\RestrictedProtocols\4]
"file"="file"

この.regファイルは、ダブルクリックして個々のシステムに適用できます。 グループ ポリシーを使用して、doメイン 全体に適用することもできます。 グループ ポリシーの詳細については、次の Microsoft Web サイトを参照してください。

• グループ ポリシーコレクション
• グループ ポリシー オブジェクト エディターとは
• コア グループ ポリシーのツールと設定

この.regファイルは、ダブルクリックして個々のシステムに適用できます。 グループ ポリシーを使用して、doメイン 全体に適用することもできます。

回避策を元に戻す方法。 この回避策を逆にするには、次のテキストを メモ帳 などのテキスト エディターに貼り付けます。 次に、.regファイル名拡張子を使用してファイルを保存します。

Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\MAIN\FeatureControl\FEATURE_PROTOCOL_LOCKDOWN]
"explorer.exe"=dword:00000000
"iexplore.exe"=dword:00000000

[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\RestrictedProtocols]

自動 Microsoft Fix It を使用してインターネット エクスプローラー ネットワーク プロトコル ロックダウンを有効にする

自動化された Microsoft Fix it ソリューションを使用してこの回避策を有効または無効にするには、Microsoft サポート技術情報の記事980088を参照してください。

回避策の影響。 インターネット/ローカル イントラネット/制限付きゾーンの UNC パスからの HTML コンテンツは、スクリプトまたは ActiveX コントロールを自動的に実行しなくなります。

その他の情報

リソース:

• フォームに入力すると、Microsoft のヘルプとサポートにアクセスしてフィードバックを 提供できます。お問い合わせください。
• 米国およびカナダのお客様は、セキュリティ サポートからテクニカル サポートを受けることができます。 使用可能なサポート オプションの詳細については、Microsoft のヘルプとサポートを参照してください。
• 海外のお客様は、現地の Microsoft 子会社からサポートを受けることができます。 国際サポートの問題について Microsoft に問い合わせる方法の詳細については、国際サポートを参照してください。
• Microsoft TechNet Security は、Microsoft 製品のセキュリティに関する追加情報を提供します。

免責事項:

このアドバイザリで提供される情報は、いかなる種類の保証もなく「現状のまま」提供されます。 Microsoft は、商品性と特定の目的に対する適合性の保証を含め、明示または黙示を問わず、すべての保証を放棄します。 Microsoft Corporation またはそのサプライヤーは、Microsoft Corporation またはそのサプライヤーがこのような損害の可能性について通知された場合でも、直接的、間接的、付随的、派生的、ビジネス上の利益の損失、または特別な損害を含む一切の損害について一切の責任を負いません。 一部の州では、派生的損害または付随的損害に対する責任の除外または制限が認められていないため、前述の制限は適用されない場合があります。

リビジョン：

• V1.0 (2010 年 2 月 3 日): アドバイザリが公開されました。
• V1.1 (2010 年 2 月 10 日): 保護モードによって提供される軽減策を指定しました。 また、保護モードに関する FAQ と回避策も明確にしました。
• V1.2 (2010 年 6 月 9 日): MS10-035 に関する情報を追加し、キャッシュ ベクターに関する FAQ エントリを明確にしました。

ビルド日: 2014-04-18T13:49:36Z-07:00